半夜 CPU 突然飙满、网站卡成幻灯片，top 里一个不认识的进程占着九成多——大概率是喜提挖矿木马了。公网上带弱口令的服务器，被批量扫描装马只是时间问题。
典型特征
- 可疑进程伪装系统进程：kdevtmpfsi、kworkerds、xmrig 之类
- CPU 占用常年高位，深夜尤甚（放马的人知道你白天盯监控）
- 有陌生的对外连接、奇怪的定时任务、/tmp 下的可执行文件
清理流程
- 断外联：安全组临时只留管理端口
- 杀进程删文件：用
ls -l /proc/进程号/exe找到路径，杀掉并删除 - 清持久化：
crontab -l检查定时任务，再看启动项和 SSH 授权键 - 堵入口：改密码上密钥，更新有漏洞的 Web 程序
为什么删了又长
只杀进程不除根，定时任务几分钟后就把木马重新拉回来。清马必须连定时任务、启动项、入侵入口一起清，缺一样就是白干。清干净后改掉所有密码，观察一周对外连接，确认不复发再恢复业务。