挖矿木马的排查与清除流程

CPU 占用莫名其妙长期高于九成，业务却没有变忙，服务器响应迟缓——这是挖矿木马最典型的信号。木马借你的算力替攻击者挖币，不删你的数据，但拖垮性能、抬高账单，处理要果断，流程如下。 准备条件：root 权限，业务允许的话先在安全组收紧行出流量——木马需要连矿池才能干活，掐断这条线能立刻降耗，也减少它向同网段其他机器扩散的机会。 第一步，定位可疑进程。执行 top 按 CPU 排序，或直接： ps aux --sort=-%cpu | head 重点关注两类进程：名称是一串随机字符的，以及可执行路径藏在 /tmp、/dev/shm 或点开头的隐藏目录里的。记下 PID 与文件路径，先记录再动手。top 里看不到对应进程的，可能被改了名或做了隐藏，这时把 ps 输出的进程号与 /proc 目录下的编号目录对照，对不上的就是伪装项。 第二步，查持久化项。挖矿木马删了进程会自动复活，原因就是定时任务或启动项在反复拉起它。依次检查：crontab -l 以及 /etc/cron.d/、/var/spool/cron/ 下的任务文件；systemctl list-timers 与 /etc/systemd/system/ 下创建时间可疑的 service；/etc/rc.local；各用户的 ~/.ssh/authorized_keys 有没有被塞进陌生公钥。凡是任务内容指向非常规路径脚本的，先看脚本内容再决定去留。 第三步，断网处置与清除。确认证据后，停止可疑进程，删除对应的定时任务与服务文件。个别木马会用 chattr +i 锁定自身文件防止删除，删除时报 Operation not permitted 就是这种情况，先执行 chattr -i 文件路径 解锁，再删。随后更换 SSH 密码与密钥，堵住攻击者回来的路。 第四步，验证。重新执行第一步观察 CPU 是否回落，并连续观察一两天确认木马不再复活。 常见报错：进程删掉几秒后又起来，说明还有别的持久化点没找到，回到第二步扩大范围，重点看 /etc/ld.so.preload 是否被劫持；实在清不干净，最快的止损方式是备份数据后重装系统，再按基线清单重新加固，比反复缠斗省时间。