Linux - 服务器.Xr1挖矿病毒解决记录

1. 发现问题

    开发服务器启动一段时间后, tomcat挂掉, 重启时卡住, 通过free命令发现内存耗尽, 又查询不到占用高的进程

2. 问题定位

2.1 通过top命令查看, 发现 xr文件, CPU占用过高, 服务器运行时间长了, 会出现很多xr的进程 (这里只有两个是因为刚重启过)

2.2  进入进程文件夹, 查看进程文件信息, 才发现是根目录下的 .XL1的隐藏文件

ls -al /proc/5748

2.3  进入 /.Xr1 文件夹,  可以看到有一个执行文件和一个配置文件

2.4 查看config.json配置信息, 可以看到里面有 p.b69kq.com:444 的域名地址 (也可能是其他域名),  百度后才发现这是 挖矿的病毒

3. 解决思路

3.1 杀掉运行中的xr的进程

ps -ef | grep "./xr"| awk '{print $2}'|xargs kill -9

3.2 修改定时任务配置文件, 将下图注释以下的配置全部删除 

vi /etc/crontab

3.3 删除 /.Xl1 文件夹   rm -rf /.Xll

注: 如果删除失败, 执行  chattr -ia .Xl1/  去除文件不可更改的属性,  然后再执行  rm -rf /.Xll