一、阿里一台ECS测试服务器提示检查到挖矿程序运行。

文件名为/usr/lib/libiacpkmn.so.3

影响：CUP进程100%持续满载

二、处理方法

1、通过阿里云盾杀掉及隔离进程文件　　无效

2、通过linux删除libiacpkmn.so.3

 

提示无权限!

  # lsattr libiacpkmn.so.3   查看文件属性，发现写了i保护

  # chattr -i libiacpkmn.so.3 修改文件去掉保护

  成功删除文件。

结果：CPU满载100%未解决，且服务器重启后，文件恢复出现。

3、通过进程处理

  # top　未发现占用进程，进程被隐藏；

  通过ps 查找占用cpu进程;

  # ps aux --sort=-pcpu | head -10

发现top中未显示进程Pid 968#kill 掉后cpu%占用恢复正常

因只是杀了进程，服务器重启后会再次出现

三、查找问题根源

1、尝试安装Clamav未成功，被阿里云拦截。

2、通过进程查找对应文件

3、删除对应文件nfstruncate

删除后，占用进程程序　变到/usr/lib/libiacpkmn.so.3

 

再删除libiacpkmn.so.3

重启服务器后，未见异常进程。Cpu正常，待后续观察。