服务器感染挖矿病毒后，通常表现为CPU/GPU持续高负载、网络流量异常增大、系统响应变慢。可通过以下方式识别：
netstat -anp或ss -tunap查看对外连接的IP和端口，常见挖矿矿池地址具有固定特征。/tmp、/var/tmp、/dev/shm等临时目录是否有可疑可执行文件。使用kill -9 [PID]强制终止挖矿进程。若进程自动重启，需进一步清理相关文件和服务。
根据进程路径删除文件，同时检查启动项（/etc/init.d、systemctl、计划任务crontab）中是否存在持久化脚本。
检查/etc/passwd中异常用户，删除未知SSH公钥，防止再次入侵。
查杀后需回溯入侵途径，避免再次感染：
/var/log/auth.log或secure日志，定位暴力破解或弱口令登录记录。rkhunter或chkrootkit扫描rootkit，检查内核模块是否被篡改。部署堡垒机与防火墙策略，关闭非必要端口；定期更新系统补丁；使用主机入侵检测系统（HIDS）监控异常进程；为服务器配置资源限制（如cgroup）防止挖矿占用过多资源。
企业微信
微信公众号
