服务器中了挖矿病毒的检测及删除方法（如dhpcd，kdevtmpfs等）

最近一段时间，公司内网的linux服务器无故CPU占用很高，导致系统缓慢，严重影响研发部的正常工作。
经排查是部分linux服务器中了挖矿病毒，该病毒占满cpu进行挖矿，导致系统缓慢。

现将清除挖矿病毒的步骤梳理如下：

1. 检测服务器是否有挖矿病毒

使用top命令查看进程及占用cpu百分比，
如果该进程名称为随机字符串，且cpu占用非常高，则可能感染了挖矿病毒，见如下截图。

2. kill 病毒进程id

kill掉CGroup的所有进程id

systemctl status 病毒进程id

3. kill 包含tracepath的进程

ps -ef|grep tracepath

查看是否有这个进程存在。该进程的功能：推测是暴力破解ssh其他服务器，并传播病毒到基它服务器，自动启动病毒。

如有，则输入systemctl status tracepath的进程id，按照步骤2的方式处理

4. 删除/usr/bin/tracepath

rm -rf /usr/bin/tracepath

5. 删除定时伤务

crontab -e

删除掉启动挖矿病毒的定时任务

6. 删除/etc/cron.d的文件

到/etc/cron.d文件夹下，删除以0开头的文件（如0systemd-*，0hourly)

7. 候改定时文件权限

修改定时任务相关的文件权限，以防再被修改

chmod -Rv a-w /etc/cron.d chmod -Rv a-wr /var/spool/cron/root

8. 删除挖矿的文件

将root目录下以.systemd开头的文件删除，这个文件就是挖矿的文件

cd /root
ll -a

9. 删除所有以system-private命名的文件

find / -name ‘systemd-private’

将找到的所有文件删除

10. 删除/tmp/.X11-unix

这一步非常重要

rm -rf /tmp/.X11-unix

推测是自动启动病毒文件的目录

11. 修改/etc/hosts

修改host文件vi /etc/hosts，最下方增加以下内容：

127.0.0.1 relay.tor2socks.in
127.0.0.1 checkip.amazonaws.com
127.0.0.1 cim8.f.dedikuoti.lt
127.0.0.1 hydra.plan9-ns1.com

12. 禁止ssh【可选】

设置ssh禁止root登陆、修改root的密码
此步骤可选，根据实际情况执行。如果不禁止，建议将root密码设置的复杂一点。

转载链接：https://blog.csdn.net/penriver/article/details/121901075