核心要点（TL;DR）
- 挖矿木马常利用弱口令或未修补漏洞入侵，首要排查CPU异常进程。
- 应急响应需隔离主机、清除持久化后门并修复入侵途径。
- 使用top、netstat、crontab等命令快速定位恶意进程与计划任务。
- 清除后必须加固SSH、更新补丁并部署AegisX类防护工具防复发。
痛点引入：CPU飙升背后的黑手
凌晨收到监控告警：服务器CPU持续100%，业务响应缓慢。登录一看，一个陌生进程吃满所有核心——十有八九是挖矿木马。很多运维第一反应是kill掉进程，但几分钟后它又复活了。挖矿病毒不仅消耗资源，还常伴随后门、数据窃取风险。本文提供一套从发现到根除的应急响应全流程，包含具体命令和检查清单，帮你彻底清除挖矿病毒并加固系统。
1. 初步隔离与信息收集
发现异常后，首先隔离主机：断开网络或限制出入站流量，防止横向移动和挖矿通信。但不要立即关机，保留现场内存和进程信息。
收集关键信息：
- 系统版本：
cat /etc/os-release - 当前登录用户：
w或who - 网络连接：
netstat -antp或ss -antp - 运行进程：
ps auxf查看进程树
将输出保存到安全位置，便于后续分析。
2. 排查恶意进程与网络连接
使用 top 按CPU排序，找到高占用进程。记下PID，然后：
ls -l /proc/PID/exe # 查看进程可执行文件路径 cat /proc/PID/cmdline # 查看完整命令行 ls -l /proc/PID/cwd # 查看工作目录
如果路径在 /tmp、/dev/shm 或随机字符串目录，高度可疑。接着检查网络连接：
netstat -antp | grep ESTABLISHED lsof -i -P -n | grep LISTEN
挖矿进程通常会连接矿池地址（如 pool.minexmr.com 等），发现后记录IP和端口。
3. 检查持久化机制
挖矿木马会通过多种方式维持存活，必须逐一排查：
3.1 计划任务
crontab -l # 当前用户 cat /etc/crontab ls -l /etc/cron.*/
重点看是否有下载脚本或执行陌生二进制文件的条目。
3.2 系统服务
systemctl list-units --type=service --state=running ls -l /etc/systemd/system/ ls -l /etc/init.d/
检查服务对应的可执行文件是否合法。
3.3 启动项与配置文件
cat /etc/rc.local ls -l /etc/profile.d/ cat ~/.bashrc ~/.bash_profile
注意是否有 curl 或 wget 下载远程脚本的语句。
3.4 SSH授权密钥
cat ~/.ssh/authorized_keys
删除未知公钥，防止攻击者持续登录。
4. 文件系统与后门查杀
使用 find 查找近期修改的可疑文件：
find / -type f -mtime -7 -name "*.sh" -o -name "*.py" 2>/dev/null find /tmp /dev/shm /var/tmp -type f -executable 2>/dev/null
检查常见后门位置：/tmp、/dev/shm、/var/tmp、/root 下的隐藏文件。使用 ls -la 查看隐藏文件。
可借助 chkrootkit 或 rkhunter 扫描rootkit，但注意它们可能误报。
5. 清除与恢复
按顺序操作：
- 删除恶意计划任务：
crontab -e移除可疑行，并检查/etc/cron.d/。 - 停止并禁用恶意服务：
systemctl stop 服务名 && systemctl disable 服务名。 - 终止进程：
kill -9 PID，若杀不掉考虑kill -9 -1（慎用）。 - 删除恶意文件：确认路径后
rm -rf，注意先备份样本。 - 恢复被篡改的配置（如SSH、DNS）。
完成后重启系统，再次检查进程和网络连接确认无复发。
6. 加固与防护建议
根除后必须加固，防止二次入侵：
- 修改SSH端口，禁用密码登录，使用密钥认证。
- 更新系统和应用补丁，尤其是Web服务、数据库。
- 配置防火墙，仅开放必要端口。
- 部署入侵检测系统，如AegisX可实时监控异常进程、网络连接和文件变更，并提供一键隔离功能，有效阻断挖矿行为。
- 定期进行安全审计和日志分析。
行动建议：立即按照上述流程排查你的服务器，并建立定期安全检查机制。若缺乏经验，可寻求专业安全团队协助，避免遗漏后门。
常见问题（FAQ）
服务器CPU使用率突然100%，是不是一定中了挖矿病毒？
不一定，但可能性很高。挖矿病毒会持续占用大量CPU资源。建议先用top命令查看高占用进程，检查其命令行和文件路径是否可疑。同时结合网络连接（netstat）和计划任务（crontab）综合判断，避免误杀正常业务进程。
发现挖矿进程后直接kill掉就行了吗？
不行，直接kill可能无法根除。挖矿木马通常有守护进程或定时任务，会自动重启。应先检查并清除计划任务、系统服务、启动项等持久化机制，再终止进程并删除恶意文件。否则很快会复发。
如何防止服务器再次被挖矿？
加固系统是关键：修改SSH默认端口、禁用密码登录改用密钥、定期更新补丁、部署入侵检测系统（如AegisX）实时监控异常。同时限制不必要的端口暴露，遵循最小权限原则，并定期进行安全审计。
挖矿木马一般是通过什么途径入侵的？
常见途径包括SSH弱口令爆破、未修补的Web漏洞（如Redis未授权、永恒之蓝）、第三方软件漏洞以及恶意脚本下载。攻击者往往利用自动化工具扫描并入侵暴露在公网的服务。
清除挖矿病毒后需要重装系统吗？
不一定。如果能够彻底清除所有恶意文件、持久化后门并修复入侵途径，系统可以继续使用。但若入侵涉及rootkit或核心系统文件被篡改，建议备份数据后重装系统，以确保环境干净。