挖矿木马攻破了服务器

最近被国外的挖矿木马攻破了服务器

根据非法登录，用

#last指令查看登录ip

首先删掉登录主机

#kill -9 pts/0

第二步

#top 看看什么占用cpu高

第三步杀死狂刷CPU的服务

过一分钟后，服务又开始狂刷cpu。

第四步根据pid查到服务地址

#systemctl status 6058 # 6058为病毒的PID

找到路径

root@main-nginx .cache# pwd

/var/tmp/.cache

root@main-nginx .cache#

然后干掉，或者权限屏蔽等都可以，只要不执行，就没有危险！