Linux挖矿病毒检测与清除实战指南-开发者社区

1. Linux挖矿病毒入侵现状与危害分析

最近两年，Linux服务器遭遇挖矿病毒攻击的事件呈现爆发式增长。根据我处理过的数十起案例，这类病毒主要通过SSH弱密码爆破、软件漏洞利用等方式入侵，一旦得手就会在系统中植入后门程序，消耗服务器资源进行加密货币挖矿。

典型的挖矿病毒具有以下特征：

CPU/GPU使用率异常飙升（通常达到90%以上）
出现名为"kworker"、"crond"等伪装的进程
/tmp目录下存在可疑的隐藏文件
系统定时任务被篡改
出现非常规的网络连接（如连接到境外IP的3333、5555端口）

关键提示：如果发现服务器突然变卡，执行top命令看到不明进程长期占用CPU，就需要立即排查是否中了挖矿病毒。

2. 病毒检测与诊断方法

2.1 系统资源监控

首先使用基础命令检查系统状态：

# 查看CPU占用排名 top -c # 查看GPU状态（如果有） nvidia-smi # 检查网络连接 netstat -anp | grep ESTABLISHED

2.2 进程分析技巧

挖矿病毒通常会伪装成系统进程，需要特别注意：

# 查看完整命令行（病毒常在这里暴露） ps auxf # 检查进程文件路径 ls -l /proc/[PID]/exe # 查找隐藏进程 ps -ef | grep -v '\['

2.3 文件系统检查

重点关注以下目录：

# 检查临时目录 ls -la /tmp/ # 检查动态链接库配置 cat /etc/ld.so.preload # 查看最近修改的文件 find / -type f -mtime -3 -exec ls -la {} \;

3. 病毒清除实战步骤

3.1 终止恶意进程

首先记录可疑进程的PID，然后强制终止：

# 终止进程 kill -9 [PID] # 确保进程被杀死 ps aux | grep [PID]

3.2 清理定时任务

病毒常通过cron维持持久化：

# 检查系统定时任务 ls -la /etc/cron* # 检查用户定时任务 crontab -l # 清除恶意任务后锁定文件 chattr +i /etc/cron.daily/*

3.3 修复系统文件

重点检查以下关键文件：

# 重置ld.so.preload echo "" > /etc/ld.so.preload # 检查SSH密钥 cat ~/.ssh/authorized_keys # 修复sudoers文件 visudo

4. 系统加固与防护

4.1 密码安全策略

# 安装密码强度检查模块 apt install libpam-pwquality # 编辑配置文件 nano /etc/security/pwquality.conf

配置示例：

minlen = 12 dcredit = -1 ucredit = -1 ocredit = -1 lcredit = -1

4.2 防火墙配置

# 仅允许必要端口 ufw allow 22/tcp ufw enable # 检查规则 ufw status verbose

4.3 入侵检测系统

安装配置fail2ban：

apt install fail2ban cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local nano /etc/fail2ban/jail.local

关键配置：

[sshd] enabled = true maxretry = 3 bantime = 1h

5. 应急响应与恢复

5.1 系统快照创建

# 创建LVM快照 lvcreate -s -n snap_root -L 5G /dev/vg00/lv_root # 创建MySQL备份 mysqldump -u root -p --all-databases > full_backup.sql

5.2 日志分析技巧

# 查看SSH登录记录 grep 'Failed password' /var/log/auth.log # 检查可疑命令历史 cat ~/.bash_history # 分析系统日志 journalctl -xe

5.3 事后检查清单

验证所有用户密码已更改
检查所有SSH密钥已被移除
确认没有残留的定时任务
监控系统资源使用率72小时
更新所有软件到最新版本

6. 高级防护方案

6.1 文件完整性监控

安装aide进行文件校验：

apt install aide aideinit mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db # 每日检查 crontab -e 添加：0 3 * * * /usr/bin/aide --check

6.2 系统权限控制

# 限制su命令 groupadd sugroup usermod -G sugroup adminuser chmod 4750 /bin/su # 设置umask echo "umask 027" >> /etc/profile

6.3 网络层防护

使用TCP Wrapper加强控制：

# 编辑hosts.deny echo "ALL: ALL" > /etc/hosts.deny # 编辑hosts.allow echo "sshd: 192.168.1.0/24" > /etc/hosts.allow

7. 挖矿病毒变种分析

最新发现的病毒变种采用以下技术：

使用LD_PRELOAD注入恶意库
通过内存驻留避免写入磁盘
伪装成正常云服务进程
使用DNS隧道进行C2通信

检测方法：

# 检查内存映射 pmap -x [PID] # 分析DNS查询 tcpdump -i eth0 udp port 53

8. 自动化清理脚本

创建清理脚本cleanup.sh：

#!/bin/bash # 终止挖矿进程 pkill -f "minerd" pkill -f "xmrig" # 清理定时任务 crontab -r rm -f /etc/cron.d/* # 修复系统文件 chattr -i /etc/ld.so.preload echo "" > /etc/ld.so.preload # 删除病毒文件 rm -f /tmp/.X11-unix/* find / -name "*miner*" -exec rm -f {} \;

9. 云环境特殊处理

对于云服务器需要额外注意：

检查云metadata服务是否暴露
验证安全组规则是否合理
禁用不必要的API权限
启用云平台提供的安全防护

AWS示例：

# 检查metadata访问 curl http://169.254.169.254/latest/meta-data # 加固IAM角色 aws iam attach-role-policy --role-name ec2-role --policy-arn arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess

10. 长期防护体系建设

建议建立多层防御体系：

网络层：配置严格的ACL规则
主机层：部署HIDS系统
应用层：定期漏洞扫描
数据层：完善备份策略
管理层：制定安全运维规范

实施示例：

# 安装OSSEC HIDS wget https://github.com/ossec/ossec-hids/archive/3.6.0.tar.gz tar -xvzf 3.6.0.tar.gz cd ossec-hids-3.6.0 ./install.sh

最后需要强调的是，安全防护是一个持续的过程。在我处理过的案例中，90%的二次感染都是因为管理员在清理病毒后没有及时修补漏洞导致的。建议至少每月进行一次全面的安全审计，保持系统更新，才能真正杜绝挖矿病毒的威胁。

Linux挖矿病毒检测与清除实战指南