文章总结： 这是一篇Linux系统挖矿事件的应急处理指南，介绍了如何发现恶意程序（异常资源占用、随机命名的计划任务），以及完整的清除流程（先关闭cron服务，再杀死进程，最后删除恶意文件和后门）。文章提供了具体命令和操作步骤，是实用的应急响应参考。
综合评分： 91
文章分类： 应急响应,恶意软件,实战经验
来自某真实挖矿事件应急处理
原创
海蜃
海蜃
2025年12月11日 15:14
河南
免责声明
本平台所分享内容仅供学习交流之用，使用者应自行判断信息的真实性与适用性。任何因使用本平台信息而导致的直接或间接后果，本平台及内容提供者概不负责。若您发现内容存在侵权行为，请及时联系我们，我们将立即采取措施删除相关内容，并向您致以诚挚的歉意。感谢您的理解与支持。
前言
该记录主要针对linux系统应急处理，如需windows系统应急处理流程或该文章pdf版，只需关注后发送“快速应急”即可查看并下载。
寻找恶意文件
1.发现可疑程序：
服务器资源异常占用，并且进程杀死后自动重启、文件删除后自动再生
2.发现异常计划任务：
发现计划任务下存在随即命名的文件名，同时计划任务均指向同一个随即命名的可疑可执行程序。同时进程的自动执行和文件的不断再生通常涉及到计划任务的定时执行，故优先排查计划任务
3.锁定异常进程
根据前面计划任务中发现的异常可执行程序的文件名，使用命令：（ps -ef | grep 异常程序的文件名） 多次执行可疑捕获到可疑进程执行时携带的命令参数，根据参数可以发现创建了哪些恶意文件，执行了哪些操作等有用信息。
应急处理流程
如果直接杀死进程，删除恶意文件的话，是没用的，恶意文件会再生，故想要清除恶意文件，需先关闭“计划任务”服务，使得计划任务无法再启动，然后杀死现有的计划任务进程、恶意程序进程最后才能彻底删除所有的恶意文件。
1.关闭计划任务服务
立即停止 cron 服务（阻断每分钟的恶意触发）
systemctl stop crond # CentOS/RHEL
systemctl stop cron # Ubuntu/Debian
禁止 cron 开机自启（防止重启服务器后复现）（不需要重启的话可以不设置）
systemctl disable crond # CentOS/RHEL
systemctl disable cron # Ubuntu/Debian
检索现有的计划任务的进程并结束
ps -ef | grep crond
2.杀死现有的恶意进程
pkill -9 -f “/dev/shm/netools”
pkill -9 -f “/dev/shm/NEO
pkill -9 -f “/bin/NHrevtqx”
3.清除恶意文件
删除恶意文件判断恶意文件NEO、tools是否还每分钟定时重生
结束计划任务后，删除恶意文件 中间间隔长达30分钟观察时间，可发现恶意文件并未再生
4.删除计划任务
检索计划任务相关的所有文件，查看内容，并清除恶意计划任务
5.清除后门
通常情况下，当服务器被入侵后，会被留下后门，便于在失去控制时通过后门再次获取控制权。在linux系统中最常见的后门有两种：1.ssh密钥后门。2.passwd文件中的新增用户。
排查发现/etc/passwd用户文件中无新增异常用户，但是在ssh服务的密钥链接的目录下发现可疑密钥文件，直接清除即可，如下图：
处理结束
经过上述步骤后即可清除多数挖矿或其他恶意程序。处理完毕后即可使用命令“systemctl start crond”重新启动“计划任务”服务，然后只需要持续观察不再出现恶意文件、异常进程、攻击告警等情况即可证明处理完毕。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：海蜃 海蜃《来自某真实挖矿事件应急处理》