记录一次挖矿病毒kthreaddk和rcu_bj，导致CPU飙高处理

忆丶chen

已于 2023-03-01 17:15:22 修改

阅读量2.9k

点赞数 1

CC 4.0 BY-SA版权

文章标签：后端网络安全服务器

于 2023-03-01 17:08:57 首次发布

本文链接：https://blog.youkuaiyun.com/Mr_chenchen/article/details/129284684

文章描述了如何处理htop中kthreaddk和rcu_bj进程导致的CPU使用率升高问题，这可能是由于恶意挖矿病毒引起的。首先，检查并清理异常的定时任务，然后删除相关恶意文件。针对gitlab系统，可能需要停止gitlab服务，删除异常文件，杀死kthreaddk进程，并调整端口设置。最后，重启服务并监控CPU使用情况以确认问题是否已解决。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

htop命令存在kthreaddk和rcu_bj进程，cpu飙高占用一般cpu或者70-80%

1、检查定时任务查看是否有

# crontab -l

检查root账号是否有异常定时任务有的话crontab -e 修改定时任务保存

并检查所有的用户有没有定时任务( 注：我的是gitlab git账户被入侵)异常进程直接删除

crontab -u git -l 查看git账号是否有异常定时任务

如有恶意定时任务删除

# ls -l /proc/pid 查看进程文件

#crontab -r 清空定时任务

2、删除相关植入的恶意文件

文件中/usr/lib/sys 恶意文件直接清空文件数据

脚本执行先杀进程再清空日志后回收内存基本可以清掉数据

也可按情况重启

#重启 reboot -h now
#!/bin/bash
#杀掉rcu_bj所有相关进程
killall -9 rcu_bj
cd /usr/lib/sys
#清空日志
cat /dev/null > rcu_bj
cat /dev/null >rcu_libk
cat /dev/null >rcu_udev
cat /dev/null > systemd
#查看内存
free -m
#回收内存
echo 1 > /proc/sys/vm/drop_caches
echo 2 > /proc/sys/vm/drop_caches
echo 3 > /proc/sys/vm/drop_caches
#回收后的内存
free -m

处理rcu_bj挖矿病毒基本可以解决

kthreaddk 挖矿病毒处理可能是因为gitlab低版本的漏洞导致的

明确是git账号一直跑资源处理如下: