服务器无故nginx异常关闭之kauditd0 kswapd0挖矿病毒 CPU占用200% 内存耗尽

小鱼儿科技

于 2024-11-13 16:49:00 发布

阅读量2.1k

点赞数 6

文章标签：服务器 nginx linux 运维

本文链接：https://blog.youkuaiyun.com/weixin_54284859/article/details/143746510

版权

现象：

nginx 每隔一段时间就会被关闭掉，查看nginx日志没有任何错误信息或异常信息

采取的办法

将nginx服务设置为自动重启 systemctl enable nginx. 问题依旧存在
查看服务器的内存和CPU占用情况
- 查看内存占用情况

free -m

发现8G的内存快被占用光了，而我们只开了一个开销不大的java服务，按道理1G就够了。

为什么会占用到将近8G

再查看CPU占用情况 top

top

发现有个kauditd0进程占用了200% 的CPU

经过各种搜索，发现这是一个挖矿病毒

且通过查询最近登录的IP

netstat -natp

发现有各种德国美国的IP，因此可以确认是中毒了

解决办法

1. 关闭这个病毒开启的定时任务

crontab -l 发现开了许多定时任务，而我们的服务器原来并没有开启定时任务，因此全部清除 
crontab -r

2. 删除病毒文件

find / -name kswapd00 或者 find / -name kswapd0

网上搜索教程上是kswapd0，而此次我们服务器上是 kswapd00

发现如下文件中有

使用命令删除这些文件

rm -rf /root/.configrc7/* 
rm -rf /var/tmp/.X2r-unix/.rsync/*

3. 使用systemctl status 进程号查看挖矿病毒是如何运行起来的


命令 ：
systemctl status 411256

返回结果：
● session-189.scope - Session 189 of user root
     Loaded: loaded (/run/systemd/transient/session-189.scope; transient)
  Transient: yes
     Active: active (abandoned) since Tue 2024-11-12 08:03:29 UTC; 23h ago
      Tasks: 13
     Memory: 60.3M
     CGroup: /user.slice/user-0.slice/session-189.scope
             ├─342148 edac0
             ├─342153 edac0
             ├─342257 sshd@notty
             └─411256 kauditd0

Nov 12 08:03:29 ecs-b309-1113543 systemd[1]: Started Session 189 of user root.
Nov 12 08:03:50 ecs-b309-1113543 sshd[336488]: pam_unix(sshd:session): session closed for user root
Nov 12 10:29:14 ecs-b309-1113543 crontab[341494]: (root) LIST (root)
Nov 12 10:29:14 ecs-b309-1113543 crontab[341496]: (root) REPLACE (root)

kauditd0 进程是在一个名为 session-189.scope 的 systemd 服务单元中运行的，该服务单元是为用户 root 的会话 189 创建的。由于该进程似乎被标记为 active (abandoned)，这可能意味着原始启动它的进程或会话已经结束，但该进程仍然在运行