Linux服务器挖矿木马病毒处理(kdevtmpfsi,kswapd0)——拯救挖矿の服务器

461 阅读2分钟

我的Linux服务器:再见了妈妈,今晚我就要远航~~~

今晚本来计划更改部署在服务器上的前端页面,但是使用 FinalShell 进行连接时直接卡死,当时还没反应过来是怎么回事
上来一看:Oh~No 直接拉满了 CPU 100% 内存 100%

QQ_1730210309431.png

因为不知道什么原因,FinalShell 也无法操作登上阿里云 控制台查看一下吧
好好好果然是被抓去挖矿了

QQ_1730210101147.png

既然知道了是什么原因,那就开始解决吧(毕竟更新部署的页面那边还需要呢)

一顿操作,抓回“打黑工”的服务器

话不多说,直接上干货

  1. top 查看当前服务器情况
    看到这些进程一直在变化,但是,主要是由于kswapd0进程在作怪,占据了99%以上的CPU,直接把CPU给我干爆了,查找资料后,发现它就是挖矿进程。
  2. 删除服务器的定时任务
// 查询当前用户是否有定时器
crontab -l
// 编辑当前用户的定时器
crontab -e

若编辑器是 vi 编辑器:

  • 按 Esc 键进入命令模式。
  • 输入 :wq 然后按 Enter 键以保存并退出。 如果您只想退出而不保存更改,可以输入 :q! 然后按 Enter 键。

另一种情况若是使用 nano 编辑器:

  • 按 Ctrl + X 组合键。
  • 系统会提示您是否保存更改,按 Y 键确认。
  • 然后,您需要按 Enter 键以确认文件名并保存。
  1. 删掉云服务器通知预警的异常目录
// 调用 rm -rf 命令
rm -rf [云服务预警文件目录]
  1. 询异常进程和其守护进程并 kill
ps -ef | grep kdevtmpfsi
ps -ef | grep kswapd0
// kill 命令杀死上述查询到的两个进程
kiL -9 [进程ID]

总结

先查看当前服务器的异常进程,根据异常进程对当前服务设置的定时器进行清除; 查询异常目录并删除出现隐患的异常文件,最后kill掉最后的挖矿进程和它的守护进程!
最后我们的服务器应该避免暴露很多常用端口,以防止我们的服务器被抓去当"矿机"。


解决方案学习了一下: linux处理kdevtmpfsi,kswapd0(挖矿病毒清除)