Linux挖矿病毒（kswapd0进程使cpu爆满）

一、摘要

事情起因:有台测试服务器很久没用了，突然监控到CPU飙到了95以上，并且阿里云服务器厂商还发送了通知消息，【阿里云】尊敬的xxh: 经检测您的阿里云服务（ECS实例）i-xxx存在挖矿活动。因此很明确服务器中挖矿病毒。

二、排查病毒

1.检查服务器的CPU和内存使用率 top

也可以通过阿里云的监控平台查看进程的CPU和内存的占用率，并且还可以告知你进程目录。

发现进程（kauditd0）占用很高的CPU。并且test用户从来没创建过，而且直接通过kill 命令杀死进程之后不到一分钟又会启动。

2.检查系统登录日志

# 系统日志一般在 /var/log 目录
# 查看登录日志 可能是auth.log 或 securexx.log相关日志，都可以查看

# 此命令是检查登录失败的信息
more /var/log/auth.log | grep "Failed password"
# 此命令是检查登录成功的信息
more /var/log/auth.log | grep "Accepted password"

 从上图可知，有人一直在尝试登录系统。