云服务器中挖矿病毒的清除过程（三）

服务器CPU使用率50%，被两个进程占用，名称分别为

-mysql

zfsutils-md5sum

使用crontab -l查看定时任务，发现病毒文件-mysql

查看这个/var/.log/目录，发现更多病毒文件，-mysql是个脚本，内容如下

查看/etc/crontab.daily目录，发现一个文件名为ntpdate

/bin/sysprg创建日期与ntupdate是同一天，文件大小与x86_64相同，无疑也是个病毒文件。

进入到/var/spool/cron目录查看文件权限，发现被加了保护，使用lsattr去除，再编辑删除内容即可

禁用crontab

云服务器中挖矿病毒的清除过程（一）

云服务器中挖矿病毒的清除过程（二）

发现一台服务器，CPU使用率一直50%左右，top查看一进程名称为

-bash，按c查看详情，名称显示为python

十分可疑

杀掉进程，清空crontab内容，并删除此目录文件，发现过一阵进程又被启动起来了

查看/etc/cron.hourly，发现有一个sync文件，还是会定时执行，内容为

此文件还被加了保护权限，需要用chattr去除后删除

cron.daily cron.weekly cron.monthly里面也有

同样方法删除/bin/sysdrr

至此病毒被彻底清除

删除/opt/.new目录时，发现此目录下还有一个/opt/.md目录，内容如下

病毒运行原理是

其他常用的诊断命令

关联文章：

云服务器中挖矿病毒的清除过程

服务器中毒导致的wget等系统命令失效后的恢复

参考文章：

【PC样本分析】记录最近与挖矿病毒的斗智斗勇

【PC样本分析】记录最近与挖矿病毒的斗智斗勇(二)

---