CPU挖矿病毒解决方法

# 20250114更新，因服务器持续与德国恶意IP（138.68.113.5）通信，故重装系统。
感染病毒切莫大意，定要斩草除根重装系统，切记切记！

以下为原文

1 症状

CPU一半核心满载，断网负载消失，联网负载出现，htop、top、ps等无法查找到占用cpu进程。

clamav慢扫全盘无结果。

使用netstat -anptu找到一个德国ip

Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name 
tcp        0    294 59.xx.xx.xx:37682       139.59.206.74:443       LAST_ACK    -  

该进程未显示PID/Program name

2 找出隐藏的挖矿进程

利用两个工具【sysdig】和【unhide】来搜寻被隐藏的进程。

https://blog.csdn.net/weixin_48958956/article/details/139812765

sudo apt install sysdig
sudo apt install unhide

sudo sysdig -c topprocs_cpu # 输出cpu占用的排行，可以显示出隐藏的进程
#sudo unhide proc # （这个貌似没啥用）搜索隐藏进程，proc目录下保存的是所有正在运行程序的进程ID，即PID

找到占用的程序PID

CPU%                Process             PID                 
3181.01%            135d2727            3532

查找PID对应的服务

systemctl status 3532

输出

user@server:/usr/bin$ systemctl status 3532
● yayaya3b8ce582.service
     Loaded: not-found (Reason: Unit yayaya3b8ce582.service not found.)

挖矿程序为yayaya3b8ce582.service

找出挖矿服务的位置

user@server:~$ systemctl cat yayaya3b8ce582
# /lib/systemd/system/yayaya3b8ce582.service
[Unit]
Description=Server Service
Wants=network-online.target
After=network-online.target

[Service]
Type=forking
User=root
ExecStart=/usr/lib/x86_64-linux-gnu/yayaya73bb36e4
Restart=always
RestartSec=4h

[Install]
WantedBy=multi-user.target

3 删除挖矿病毒的服务，按照以下步骤操作：

3.1. 断网修改密码

首先，断网！！！！！！，修改所有用户密码，以及root密码。

大小写和数字组合

修改所有用户密码参考：https://www.yisu.com/ask/62017172.html

修改root密码，在root下使用passwd更改

3.3. 停止服务：

停止正在运行的服务。

systemctl stop yayaya3b8ce582

3.2. 禁用服务：

禁用服务以防止它在系统重启后再次启动。

systemctl disable yayaya3b8ce582

3.3. 删除服务文件：

删除与该服务相关的系统服务文件。

rm /lib/systemd/system/yayaya3b8ce582.service

3.4. 重新加载systemd配置：

删除服务文件后，重新加载systemd的配置。

systemctl daemon-reload

3.5. 检查并删除可疑文件：

删除服务对应的可执行文件，以防止再次被执行。

rm /usr/lib/x86_64-linux-gnu/yayaya73bb36e4

3.6. 检查是否有其他可疑服务：

列出所有正在运行的服务，并检查是否有其他可疑的服务。

systemctl list-units --type=service

按照以上步骤操作，可以有效地删除这个挖矿病毒服务，并减少它对系统的影响。如果怀疑系统可能存在更多安全隐患，建议备份重要数据，并考虑重新安装操作系统以确保系统的干净和安全。

本文更新之日，再中病毒之时。

20250114更新，因服务器持续与德国恶意IP（138.68.113.5）通信，故重装系统。