服务器被攻击植入挖矿病毒，CPU占用高问题排查处理（.systemd-service.sh）

客户服务器遭攻击，部署的应用服务经常性被停止，服务器CPU占用居高不下，top查看如下：

 

可以看到第一个bash任务，占用cpu近400%，非正常的应用程序和脚本任务，多半是被植入了木马信息。

查看该进程的符号连接，发现已经是被删除的状态 /usr/bin/-bash (deleted)，无法查看其启动程序的信息

查看定时任务：cat   /etc/crontab,发现都是正常的应用程序定时脚本

又用 crontab  -l 查看了一下，发现了异常定时任务如下，同top里的异常任务一致，遂将该定时任务注释，并kill调那个异常进程继续观察

一段时间后，top查看异常任务又复现了，再次查看crontab任务并未发现异常，继续查看/etc/cron.daily  cron.d下的文件时，均发现未知的sync文件，内容如下