Linux系统异常进程 minerd 导致CPU跑满怎么办
Linux 服务器 CPU 使用率超过70%,严重情况达到100%,或者使用服务器越来越慢。
问题原因
场景一:
使用 top 命令看到有一个 minerd 或 tplink 的异常进程,占用了大量 CPU 资源。如下图所示:
经定位,相关进程是服务器被入侵后被恶意安装的比特币挖矿程序,一般存在 /tmp/ 目录下。如果使用 top 查看不到,用 ps 命令可以找到相关进程。比如:
服务器存在这个进程,如果不是主动开启的,则很可能是被入侵所致。服务器变成了别人的矿机,用来挖莱特币。
场景二:
黑客通过驱动rootkit程序方式入侵主机部署隐藏挖矿程序,CPU使用率达到90-100%,该场景无法通过top命令和ps命令查看到运行中的进程。
处理方法
场景一处理方式:
使用类似如下命令通过 pid 获取对于文件的路径
ls -l /proc/$PID/exe
参数说明:$PID 为进程对应的 PID 号,可以通过前述说明,通过 ps 或者 top 获取
2.使用 kill 命令关闭进程。
3.删除步骤 1 获取的对应的文件。
4.建议平时增强服务器的安全维护,优化代码,以避免因程序漏洞等导致服务器被入侵。
场景二处理方式:
由于恶意模块程序被隐藏,可以使用以下命令查看是否存在如下模块:
恶意模块:raid.ko、iptable_mac.ko、snd_pcs.ko、usb_pcs.ko、ipv6_kac.ko
#file /lib/udev/usb_control/iptable_mac.ko