疑似挖矿进程与启动项排查

CPU 使用率长期在九成以上而业务量没有变化，第一反应是看哪个进程在吃资源。挖矿木马最典型的症状就是 CPU 被拉满，其余指标反而一切正常，很容易被当成"该升级配置了"。 第一步：定位可疑进程 打开任务管理器按 CPU 排序，记下可疑进程的名称和 PID，右键"打开文件位置"看路径：正经系统进程都在 C:\Windows\System32 下，路径落在用户临时目录、随机目录，或者名字模仿系统进程（svch0st 之类）的，基本可以定性。同屏再核对启动时间：机器开机没多久就活跃、消耗又大的进程，嫌疑再加一层。 第二步：网络连接同步查 netstat -ano 里找可疑的外连记录，矿池通信常见落在 3333、4444、5555、7777 这类端口，对应行的 PID 往往就是那个吃 CPU 的进程，两边对上号就能确认。确认后在防火墙出站规则里封掉目标地址段，防止清理不干净时它再连回来。 第三步：查持久化机制 直接杀进程没用，重启就回来，要先找到它靠什么活下来。三处必查：任务计划程序（taskschd.msc）里来源不明、触发器为"登录时"或"启动时"的任务；注册表启动项，命令行执行： reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run 另外看服务列表里有没有新出现的陌生服务。先删持久化项，再杀进程。动手前留证：进程路径、计划任务导出、注册表键值都截图存档，这些是事后判断入侵途径的线索。 第四步：断网处置 确认中招后，第一时间在云控制台把机器切到隔离状态（安全组只留管理网段），再从容清理或重装；有条件先做一次磁盘快照留存，溯源或报案都靠它。带毒在线慢慢杀，等于给对方留足转移和反抗的时间。 第五步：收尾加固 清理完成后改掉所有账号密码，lusrmgr.msc 里检查有没有被新建的陌生账号和被提权的账号，补齐系统与中间件补丁。入侵都是从薄弱入口进来的，堵住入口比杀掉进程重要。对外只留必要端口，远程管理一律走跳板，这次没堵上的口子就是下次的门票。