挖矿病毒清除 kdevtmpfsi

在使用主机时，突发内存打满情况，心中有了一个不好的预感，果然通过执行 top命令后，发现了一个占用高内存的进程，kdevtmpfsi。后续一查发现是挖矿病毒。

病毒介绍

阿里云公布分报告，链接地址
摘取下重要信息来看的话：

其利用Redis未授权或弱口令作为入口，使用主从同步的方式从恶意服务器上同步恶意module，之后在目标机器上加载此恶意module并执行恶意指令。
在以往常见的攻击者或蠕虫中，其大多都沿用登陆redis后写入定时任务或写ssh key的方式进行入侵，这种方式受权限与系统类型影响并不一定能够成功。而此次使用redis加载module的攻击方式，可以直接执行任意指令或拿到shell交互环境，危害极大。

问题原因

这台云服务器，是闲来用着搭建些环境，做点东西使用的。之前有用到过redis，所以使用docker安装运行了redis，并开放了6379端口，为了方便也未设置密码。
后续因为不用就给redis停掉了，但是端口一直没关。所以这次也是个警告了，先把所有不用的开放端口先都给禁用掉。

解决过程

先查找病毒相关进程，分别使用如下两条命令。找到进程后，执行kill -9 PID命令，杀掉进程。
ps -aux | grep kinsing
ps -aux | grep kdevtmpfsi

然后查找是否有相关内容残留，分别执行下方两条命令。如果查找到数据，使用rm -rf命令，删除掉相关内容
find / -name kdevtmpfsi
find / -name kinsing

后续

除非必要，不乱开放端口(不仅是redis)。不用了就立即关掉。
以redis为例，默认6379.可以不使用默认端口号。
不能为了避免麻烦就不设置密码，一定要设置密码，且尽量复杂些。