刘子栋1. 挖矿病毒入侵的典型征兆
去年处理服务器异常时，我发现CPU使用率长期保持在90%以上，风扇狂转但实际业务负载很低。这种异常现象往往预示着挖矿病毒的入侵。挖矿病毒会悄无声息地占用计算资源进行加密货币挖掘，导致设备性能下降、电力消耗激增。
常见症状包括：
- 系统响应明显变慢，简单操作需要等待
- 散热风扇持续高速运转
- 出现异常进程消耗大量CPU/GPU资源
- 网络流量异常增大
- 系统日志中出现可疑的定时任务
重要提示：当发现服务器性能异常时，应立即排查而非简单重启，避免病毒通过持久化机制再次激活。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 入侵检测与病毒定位
2.1 系统资源监控分析
使用top命令实时监控进程资源占用：
bash复制top -c -o %CPU
重点关注：
- 异常高的CPU使用率（特别是接近100%的进程）
- 可疑的进程名（如随机字符串、伪装成系统进程）
- 异常的用户身份运行进程
2.2 网络连接排查
通过netstat检查异常外连：
bash复制netstat -tulnp
挖矿病毒通常会连接矿池地址，特征包括：
- 连接到非常用端口（如3333、5555、7777等）
- 目标IP属于已知矿池
- 大量ESTABLISHED状态的连接
2.3 病毒文件定位
使用lsof查看进程打开的文件：
bash复制lsof -p <可疑PID>
重点关注：
- /tmp目录下的可疑可执行文件
- 隐藏目录（如以点开头的目录）中的脚本
- /var/spool/cron/下的异常定时任务
3. 病毒清除实战步骤
3.1 终止恶意进程
首先kill掉已发现的恶意进程：
bash复制kill -9 <PID>
对于顽固进程，可能需要使用：
bash复制pkill -f "恶意进程名"
3.2 清除病毒文件
定位到的病毒文件需要彻底删除：
bash复制rm -rf /path/to/malware
特别注意检查以下目录：
- /tmp/
- /dev/shm/
- /var/tmp/
- 用户home目录下的隐藏文件夹
3.3 清理定时任务
检查并清理crontab：
bash复制crontab -l #