核心要点（TL;DR）
- 2024年勒索攻击更倾向双重勒索与定向渗透，挖矿木马则利用无文件与容器逃逸提高隐蔽性。
- 快速排查优先看异常进程、外连IP、计划任务与SSH密钥，再结合日志定位入口。
- 处置勒索先隔离断网再取证，挖矿木马需清除持久化并修补入侵点。
- 加固核心是收敛暴露面、最小权限与持续监控，而非一次性扫描。
痛点引入：勒索与挖矿为何总在半夜爆发
很多运维和站长都有类似经历：凌晨收到CPU告警或业务不可用，登录后发现文件被加密或进程疯狂外连。2024年主机安全威胁并未减弱，勒索攻击更趋产业化，挖矿木马更隐蔽。本文从数据观察出发，给出可落地的排查命令与加固清单，帮你快速止血。
数据观察：2024年勒索与挖矿的典型特征
从公开事件与应急响应案例看，勒索攻击呈现双重勒索常态化、定向渗透增多；挖矿木马则利用无文件攻击、容器逃逸和合法工具（如curl、wget）下载载荷，持久化手段更分散。以下对比常见入侵链路：
| 威胁类型 | 常见入口 | 典型行为 | 快速排查点 |
|---|---|---|---|
| 勒索攻击 | SSH/RDP弱口令、暴露的数据库、Web漏洞 | 批量加密文件、删除卷影、留下勒索信 | 文件扩展名异常、CPU/磁盘IO飙升、勒索信 |
| 挖矿木马 | Redis未授权、Nacos漏洞、弱口令、恶意镜像 | CPU持续高位、外连矿池、进程伪装 | top异常进程、ss外连、crontab异常 |
快速排查：5条命令定位异常
登录主机后，按顺序执行以下命令，记录异常项：
- 进程与CPU：
top -c按CPU排序，注意随机名进程、路径在 /tmp、/dev/shm 的进程。 - 网络外连：
ss -antp查看ESTABLISHED连接，重点矿池端口3333/4444/5555/7777/9999。 - 计划任务：
crontab -l与ls -l /etc/cron.*，检查未知下载命令。 - SSH密钥：
cat ~/.ssh/authorized_keys，删除陌生公钥。 - 近期文件：
find / -mtime -7 -type f -name "*" 2>/dev/null | head -50，关注 /tmp、/var/tmp。
提示：排查前先断网隔离（保留管理通道），避免横向移动与数据外传。
分步处置：勒索与挖矿的应急流程
勒索攻击处置
- 立即隔离受感染主机，不要关机，保留内存与磁盘现场。
- 排查入口：检查SSH登录日志
lastb、journalctl -u sshd，以及Web访问日志。 - 修改所有相关密码，禁用可疑账户，删除陌生SSH密钥。
- 从离线备份恢复数据，验证备份完整性。
- 切勿支付赎金，支付不保证解密。
挖矿木马处置
- 结束恶意进程：
kill -9，并删除对应文件。 - 清除持久化：检查crontab、systemd服务、
/etc/rc.local、~/.bashrc、/etc/ld.so.preload。 - 修补入侵点：如Redis未授权，绑定127.0.0.1并设置密码；如弱口令，立即改强密码。
- 全盘扫描：使用
chkrootkit、rkhunter辅助检查。 - 若反复感染，建议重装系统并恢复干净备份。
加固清单：把威胁挡在门外
- 收敛暴露面：关闭不必要的公网端口，数据库不对外。
- 强认证：禁用密码登录，使用SSH密钥，启用双因素。
- 最小权限：业务以低权限运行，避免root直接暴露。
- 持续监控：部署主机入侵检测，监控异常进程、文件变更与外连。可考虑AegisX的主机安全能力，覆盖勒索行为拦截与挖矿进程识别。
- 备份验证：定期备份并演练恢复，确保备份不被加密。
- 补丁管理：及时更新系统与中间件，修复已知漏洞。
行动建议：从今天开始做三件事
第一，立即执行一次快速排查，记录基线；第二，按加固清单逐项整改，优先处理公网暴露与弱口令；第三，建立监控与备份机制，定期复盘。主机安全是持续过程，早一步行动，少一次事故。
常见问题（FAQ）
服务器CPU突然跑满，怎么判断是挖矿木马还是正常业务？
先看进程与网络：用 top -c 按CPU排序，检查异常进程名与路径；用 ss -antp 查看外连矿池端口（常见3333/4444/5555/7777/9999）。若进程名随机、路径在 /tmp 或 /dev/shm，且外连陌生IP，基本可判定挖矿。建议立即隔离并取证。
发现勒索病毒加密文件后，第一步应该做什么？
立即断网隔离，不要关机或重启，保留内存与磁盘现场。然后排查入侵入口（SSH弱口令、暴露的RDP/数据库、Web漏洞），修改所有相关密码，从备份恢复数据。切勿支付赎金，支付并不能保证解密。
如何快速检查主机是否被植入后门或持久化？
重点检查四类位置：计划任务（crontab -l、/etc/cron.*）、系统服务（systemctl list-unit-files）、启动项（/etc/rc.local、~/.bashrc）、SSH密钥（~/.ssh/authorized_keys）。同时用 find / -mtime -7 -type f 查找近期异常文件。
挖矿木马清除了又回来，怎么办？
说明持久化未清干净或入侵点未修补。需全面检查计划任务、服务、启动脚本、动态库劫持（ld.so.preload）和SSH密钥，并修补弱口令、Web漏洞等入口。建议重装系统并恢复干净备份，避免残留。
中小站长没有专业安全团队，如何低成本提升主机安全？
做好四件事：关闭不必要的公网端口、使用强密码与密钥登录、开启自动安全更新、部署主机入侵检测（如AegisX）监控异常进程与文件变更。定期备份并验证可恢复性，成本低且有效。