挖矿病毒消除了

1. 记一次解决挖矿病毒的过程（sysupdate、networkservice）

我也是有一段时间服务器变的很卡，那时我还以为是我自己的软件装太多导致的问题，不看不知道，看了吓一跳，服务器已经被攻击了，接下来，我来分享下如何查找和解决这个病毒。

当发现服务器卡的时候，我们可以采用top命令，如下显示

我们注意看以上这几个进程，没稍加注意的话，我们还以为这几个是正常的进程，为啥呢？

1、毕竟这几个的user是apache、www、nobody，因为我的web站点，文件目录是www目录，所以这个地方很容易被误认为就是我们的站点目录，而且apache本来是web服务，它取成了这个名词，也容易混淆我们的视野。
2、后面的command名称取成了networkservice 和sysupdate，名称很像我们的系统进程，
3、每个进程的cpu占用都比较小，平均差不多20%个cpu，可是这么多进程加起来，CPU占用就爆炸了，将近100%了

从上面这个地方可以发现这个攻击者很聪明，懂得用这种名称来混淆我们的视野

从上面的top命令知道了这几个占用比较大的进程号，我们可以根据其中的某个进程，比如7081入手，来查找其他关联的进程，使用以下命令，如下图所示

进入到/etc目录下，
我们可以看到有sysupdate、networkservice、sysguard三个文件，这三个文件都是二进制文件，这三个应该就是挖矿的主程序和守护程序。还有一个update.sh文件，这应该是对挖矿病毒升级用的。这个update.sh怎么找出来的呢，其实是通过定时程序里面的cron找出来的。

再进入到 /var/spool/cron看下定时程序
如下图所示

可以看到这几个文件名称，和刚刚占用cpu高的进程user，名称是一样的

这样就可以确认的确是病毒攻击了服务器

1、删除所有的定时程序
进入到/etc/crontab、/var/spool/cron/root、/var/spool/cron/crontabs/root等目录中，删除其中的定时脚本。
也要记得删除定时任务，crontab -e，删除其中的脚本

2、杀掉进程，并删除文件
以下这几张图片的进程id，分别进行kill杀掉

然后删除/etc下面的 sysupdate、networkservice、sysguard、update.sh和config.json几个文件
这时候，你可能会发现无法删除，因为病毒使用了chattr +i 命令，使用如下命令即可删除

每个无法删除的文件，都执行如上命令，即可实现删除文件

3、/root/.ssh/authorized_keys 删除
可能攻击者已经在这里配置了登陆，攻击者可以随便登陆你的服务器，你这里要把秘钥也修改下
经过这些处理后，可以发现我们的服务器已经不再卡了，如下，没有占用高的程序了

转自： https://www.jianshu.com/p/b99378f0cf8f

2. 挖矿病毒怎么处理

挖矿病毒处理步骤如下：

1、查看服务器进程运行状态查看服务器系统整体运行情况，发现名为kdevtmpfsi的挖矿进程大量占用系统CPU使用率。

2、查看端口及外联情况查看端口开放状态及外联情况，发现主机存在陌生外联行为。对该外部地址进行查询发现属于国外地址，进一步确定该进程为恶意挖矿进程：定位挖矿进程及其守护进程PID挖矿病毒kdevtmpfsi在运行过程中不仅会产生进程kdevtmpfsi。

6、查看redis日志通过查看redis配置文件/etc/redis.conf发现日志功能未开启。

7、查找敏感文件发现authorized_keys文件。

8、查看ssh日志文件查看ssh日志文件，发现大量登陆痕迹以及公钥上传痕迹。

3. 电脑被挖矿了怎么恢复！求助！（已经卸载并且将其杀毒）

重装一遍系统，就完全恢复了

任何挖坑都需要安装软件的，重装系统，这些软件都消失了
本质上挖坑，其实就是运行某个软件，如果不是本人安装，都是通过木马安装的

4. 服务器上如何清除NrsMiner挖矿病毒

挖矿病毒完整清除过程如下，请在断网情况下进行：

1.停止并禁用Hyper-VAccess Protection Agent Service服务；

2.删除C:Windowssystem32NrsDataCache.tlb；

3.删除C:.dll，若删除失败，可重命名该文件为其他名称；

4.重启计算机；

5.删除C:Windowssystem32SysprepThemes和C:WindowsSysprepThemes目录；

6.删除C:Windowssystem32SecUpdateHost.exe。

7.到微软官方网站下载对应操作系统补丁，下载链接如下：https://docs.microsoft.com/zh-cn/security-updates/Securitybulletins/2017/ms17-010

8.安装国内主流杀毒软件，及时更新至最新病毒特征库。

5. miner挖矿木马该怎么清除

miner挖矿木马这种病毒现在经常遇到，在一般情况下使用电脑管家的杀毒功能时无法查杀。

这时需要重启电脑按F8进入电脑的安全模式，在安全模式下，使用电脑管家的病毒查杀，给电脑杀毒，在一般情况下的杀毒软件可以查杀到此病毒。

miner挖矿木马是消耗用户的电脑资源，进行挖矿，导致用户电脑资源和性能变低，一般看不出来，但是显卡或CPU占用很高，是电脑后台自行消耗显卡与CPU资源的木马病毒。现在十分常见。

6. 电脑中了挖矿病毒

方法/步骤
首先，如果是菜鸟写出的病毒，大家可以太任务管理器中，找到该文件路径，直接终结进程树，或直接找到路径删除即可。

2/6
第二，如果对方技术够本，我们很难终结进程，那么，我们可以下载一个电脑管家，现在的电脑管家也增大了挖矿病毒的扫描率，如果查找到直接清理即可。

3/6
第三，如果电脑管家也无法搞定那么，我们可以avast查杀，这个程序在杀毒方面，简直是第一，对于挖矿病毒来说，更是犹如利剑。

4/6
第四，如果使用avast之后，我们还怀疑电脑有挖矿病毒的话，我们先打开进程手动把文档路径放到隔离区。

5/6
第五，在放到隔离区之后，我们使用avast的放松以供分析，然后发给avast的工作员工，备注怀疑是挖矿病毒，对方给我们人工分析，如果是，对方也会帮我们删除。

6/6
第六，如果在专业坚定之后，我们还有所怀疑的话，如果不是大牛，那么，大舅就需要重装电脑了，毕竟，一装百物清。
网络经验:https://jingyan..com/article/ca41422f1d83601eae99edf3.html
望采纳谢谢(≧∇≦)

7. linux被挖矿重装系统能清除吗

可以的
xmrig是一种挖矿病毒,通常会抢占服务器的资源,导致服务器超负荷运转,出现服务宕机的情况。

8. 手机如何清除挖矿木马

下载杀毒软件，比如手机安全卫士，进行杀毒清理，然后重启手机就可以了。

9. 360能清除挖矿病毒吗

能。360安全中心本月16日宣布，近期监测到一类挖矿木马异常活跃，三天内感染约50万部个人电脑，360安全卫士查杀拦截此类挖矿病毒已超过50万次，360能清除挖矿病毒，360免费安全软件平台和智能硬件家居平台。

10. 解决挖矿病毒的经历

线上一台服务器，CPU高达90%以上，经过top 分析出进程kdevtmpfsi
kill -9 杀死进程无果，很快就会自动恢复
排查步骤：

结果：

病毒被植入到了线上运行的某一docker容器内。

如何先确定是哪一容器再去删除搜索结果中的病毒文件？

我这台机器跑的容器不多，可以用复制文件的方法，先 docker cp 一个文件到容器中。再去find 这个文件
如果结果还是在刚才搜索病毒的那个文件目录下（/var/lib/docker/devicemapper/mnt/xxxxx ）就可以确定容器了。结果是php的容器出现了问题。

知道是具体是什么容器出现了问题，最快的办法就是先重启一个新的容器。
我这边是nginx +php 两种服务容器，所以先启动了一个新php容器，修改nginx中配置文件代理后端php服务器端口为新容器的IP地址。（nginx容器已经映射目录到宿主机）

修改PHP后端IP地址
cd 宿主机映射nginx的配置文件位置目录

测试线上环境正常后，删除原来的php容器。（这是自然也==直接删除了病毒文件）
执行 TOP命令，CPU占用正常。
平时防火墙和sellinux都关闭的话，服务器不要暴漏太多无用端口，出现问题应该最新通过进程名去查找文件的原始位置去分析问题，遇到挖矿病毒也应该多注意/etc/init.d下和cron计划任务有无异常。
后期也可以写个cron或者脚本