记一次清理服务器挖矿程序注入kdevtmpfs

前几天突然发现公司服务器很卡，CPU经常飙到200%；网站服务被自动停止，甚至服务器崩溃；于是进行排查，发现一个名为：kdevtmpfs的进程占用了180%多的CPU，吓了一跳，于是赶紧排查问题：首先查到这个进程并不少我们服务器用到的进程，于是在网上查找这个问题，发现很多人都遇到过，于是根据网上的一个教程开始清理：

1、删除掉/tmp文件下的kdevtmpfs文件；删除掉kdevtmpfs对应的进程，清理掉定时任务；（无效，几分钟后依然会自动重启，自动在定时任务新增定时任务）（ >发现一台服务器，CPU使用率一直50%左右，top查看一进程名称为
-bash，按c查看详情，名称显示为python
十分可疑
杀掉进程，清空crontab内容，并删除此目录文件，发现过一阵进程又被启动起来了
查看/etc/cronhourly，发现有一个sync文件，还是会定时执行，内容为

此文件还被加了保护权限，需要用chattr去除后删除

crondaily cronweekly cronmonthly里面也有
同样方法删除/bin/sysdrr
至此病毒被彻底清除

删除/opt/new目录时，发现此目录下还有一个/opt/md目录，内容如下
病毒运行原理是

其他常用的诊断命令

关联文章：
云服务器中挖矿病毒的清除过程
服务器中毒导致的wget等系统命令失效后的恢复

参考文章：
PC样本分析记录最近与挖矿病毒的斗智斗勇
PC样本分析记录最近与挖矿病毒的斗智斗勇(二)

你好：
这是正常的
当你IP直接登陆挖矿软件不成功时
会自动选择代理服务器登陆

这个IP18341194是我们的代理服务器IP
谢谢你的支持！

Linux服务器挖矿，只需要两步

打开 网站，输入手机号，选择你要使用多少CPU来挖矿，默认为使用50%的CPU进行挖矿，点击生成你的专属命令并复制

进入控制台粘贴命令，并点击运行

就是这么 *** 作简单。

别乱下载，安装，安装杀软，清理软件
Webfreer是一款基于chromium开源项目进行开发的浏览器，不法分子通过插入恶意代码，然后重新编译生成木马程序。由于开源项目的原因，该类木马程序容易被杀毒软件判白。

---