记录一次挖矿病毒处理：kdevtmpfsi

一、服务器CPU跑满

使用下面的命令查看CPU使用情况

ps aux|head -1;ps aux|grep -v PID|sort -rn -k +3|head

结果：

网上查是挖矿病毒

二、解决

不知道这个病毒是不是进化了，每次执行 

ps -aux | grep kinsing

它的进程号都会发生改变（kinsing是守护进程，必须先杀死他）

解决方案：

1、使用

netstat -natp

找到

2、再执行

systemctl status 12699

显示

这里面的进程才是真正的进程号

3、使用

kill -9 1090
kill -9 7443

杀死这两个进程

4、进入 /tmp/ 删除kdevtmpfsi文件：无法删除时：https://blog.csdn.net/sinat_35861727/article/details/79040755

5、 crontab -l 查看定时任务，发现

通过http://www.ip138.com/ips1388.asp?ip=185.181.10.234&action=2查询发现是一个外国地址

6、删掉这个定时任务 暴力方案（谨慎使用！谨慎使用！谨慎使用！）：删除所有定时任务

crontab -r

进入编辑页面的方法,然后按照vim的方式进行编辑

cronteb -e

7、重启crontab

/etc/init.d/cron restart