ld-linux-x86-64.so.2挖矿木马，排查操作记录

登录linux系统，在控制台中运行```top```指令

看到cpu占用较高的进程，其中第一项名为“ld-linux-x86-64”的一个进程占用cpu资源竟然高达700%，经上网验证，基本确认是挖矿木马。

 记录好该进程的id，6233，开始排雷之路。

首先，执行```pwdx 6233```命令，得到该进程的执行目录，返回结果显示目录地址是"/usr/local/games/.cache"，PS：因为是事后记录，所以没有当时截图。。。

再执行```find / -name "ld-linux*"```，返回列表中存在目录"/usr/local/games/.cache"，再次验证木马位置，就是该地址。

注：/usr/lib64/ld-linux-x86-64.so.2是系统文件，删除后会造成系统异常，切记不可删除，木马的狡猾就是会把自己伪装成系统正常文件或进程，所以要区分好哪些是“细胞”，哪些是“病毒”。

进入木马所在目录，目录下有多个文件，主要有cron.d（任务计划）、run（启动文件）、stak3/stakcentosold/stakubuntunew（木马病毒）等。

查看run启动文件，会看到，启动程序，然后和木马主机通信等，确信木马无误。

 在服务器上到```/etc/crontab```目录看系统任务计划中是否有异常任务，排查是否有任务残留（任务计划中通常是用于制定定时启动命令）

最后一项排查，潜在进程，执行```ps -x | grep cache```和```ps -x | grep games```，因为种木马可能会分为下载木马文件和解压木马文件等步骤，所以查进程时，建议查两次，一次是木马所在目录的上一级，以及木马所在目录，经本次实践，确实两类潜在进程均存在。一个是下载木马到games目录下，另一个是解压.cache目录并删除下载包。

排查结束后，就要删删删了！！！ 

要删除的东西：木马所在目录（/usr/local/games/.cache），木马进程（6623），潜在进程（可能会有多个，需要不断执行ps -x命令，确保彻底删除）

删除目录命令：```rm -rf /usr/local/games/.cache```

删除进程命令：```kill -9 6623```

注：删除潜在进程后，建议再次确认木马目录已被彻底删除，因为先删除木马的话，潜在进程会在你删除所有潜在进程之前，重新下载并解压种木马，所以不怕麻烦，最好多次确认所有东西都已被清除，没有残留！！！