记一次挖矿病毒清除经历

一、问题

一早收到阿里云报警通知短信，说是服务器受到挖矿病毒攻击。

二、解决思路

2.1 top查看进程

先登上服务器查看当前服务器进程，一看四个CUP的空闲率全部为0，有一个进程占用了将近400%的使用率，先杀掉进程。

2.2 删掉守护脚本

一般这种病毒是一个程序，然后会有一个守护脚本来防止你杀掉他。
果然杀掉没多久，这个叫Macron的进程又出现了，首先找到这个病毒程序位置，然后删掉它


进入/usr/bin目录，将今天创建的脚本文件全部删掉

发现文件给锁住了，不给删除。用chattr -i 文件名解锁被锁住的文件，然后再删除。

2.3 查看其他文件

用find / -maxdepth 1 -newermt "2020-03-09"命令查看今天修改了那些目录。ll -at按时间排序，挨个排查掉今天改动过的文件，防止黑客留黑门。

crontab -l ：查看定时任务
/etc/passwd：查看有没有创建用户
/root/.ssh/authorized_keys：查看有没有免验证登陆的主机
/etc/hosts：文件查看主机解析，添加了好多主机地址。