挖矿病毒处理:kdevtmpfsi"/>
记录一次挖矿病毒处理:kdevtmpfsi
一、服务器CPU跑满
使用下面的命令查看CPU使用情况
ps aux|head -1;ps aux|grep -v PID|sort -rn -k +3|head
结果:
网上查是挖矿病毒
二、解决
不知道这个病毒是不是进化了,每次执行
ps -aux | grep kinsing
它的进程号都会发生改变(kinsing是守护进程,必须先杀死他)
解决方案:
1、使用
netstat -natp
找到
2、再执行
systemctl status 12699
显示
这里面的进程才是真正的进程号
3、使用
kill -9 1090
kill -9 7443
杀死这两个进程
4、进入 /tmp/ 删除kdevtmpfsi文件:无法删除时:
5、 crontab -l 查看定时任务,发现
通过.asp?ip=185.181.10.234&action=2查询发现是一个外国地址
6、删掉这个定时任务 暴力方案(谨慎使用!谨慎使用!谨慎使用!):删除所有定时任务
crontab -r
进入编辑页面的方法,然后按照vim的方式进行编辑
cronteb -e
7、重启crontab
/etc/init.d/cron restart
更多推荐
记录一次挖矿病毒处理:kdevtmpfsi
发布评论