记服务器随机10字符病毒及被当做挖矿肉鸡的清除的过程

Posted 2020-09-09

故障表现：某天晚上突然收到某项目一台web服务器CPU报警，SSH连接困难卡顿，登陆后发现CPU使用率飙升到700%，第一感觉是被黑了。

故障处理：

              1.top后发现有可以进程跑cpu已达到700%；

              2.杀掉可以进程，使SSH不那么卡顿，给自己处理问题创造条件，过了一段时间那个又会启动，第一反应就是crontab被做了手脚，cat /etc/crontab果然有个gcc4.sh；

              3.删掉crontab并且用chattr +i /etc/crontab 锁定文件；

              4.百度后发现是十字符病毒；

              　lsof -R | grep "/usr/bin"

　　　　　　ls -lt /usr/bin | head

　　　　　　ls -lt /bin | head

　　　　　　rm -fr /usr/bin/hjwgfprqsi && chattr +i /usr/bin/