阿里云技术支持

云安全中心用户如何处理挖矿程序

1. 登录云安全中心控制台。
2. 在左侧导航栏单击威胁检测 > 安全告警处理。
3. 在安全告警列表中通过搜索定位到挖矿程序，并单击操作列处理。
   当出现挖矿事件时，云安全中心会产生挖矿程序的告警事件。

1. 对确认需要查杀的挖矿程序，选中病毒查杀、隔离该进程的源文件并单击立即处理，防止该程序再次启动。

1. 对挖矿事件产生的其他衍生告警（例如：矿池通信行为），执行阻断操作。
   云安全中心通过生成对应的策略防止服务器访问矿池，确保您有充足的时间对安全事件进行处理。

1. 查看进程行为异常告警，确认是否存在异常的计划任务。
   
2. 开启病毒拦截功能。

   针对无法及时清理服务器上残留的挖矿程序或清理不干净导致复发的情况，云安全中心提供的病毒拦截功能可对挖矿程序进行精准拦截，在事前抑制挖矿事件的发生。

   您还可以通过云安全中心提供的入侵溯源功能，详细了解挖矿程序入侵的过程和链路。

   

非云安全中心用户如何处理挖矿程序

挖矿程序为了最大程度获取利益，会存放大量的持久化后门，导致病毒杀不死或难以清理。

如果您在未购买云安全中心服务的情况下遇到挖矿病毒，可以采取如下措施排查和处理（本操作以Linux系统为例）：

1. 查看挖矿进程的执行文件链接。

   ls -l /proc/xxx/exe           // xxx表示该进程的PID。

2. 清除挖矿进程的执行文件。
3. 在高CPU消耗的进程中定位到挖矿进程，并杀死该进程。
4. 检查您服务器的防火墙中是否存在挖矿程序的矿池地址。
   1. 执行以下命令查看是否存在业务范围之外的可疑通信地址和开放端口。

       iptables -L -n

      

   2. 执行以下命令清除恶意矿池地址。

       vi /etc/sysconfig/iptables

5. 执行以下命令排查是否存在定时任务。

   crontab -l

   

   您可以根据排查的结果，对可疑的定时任务文件进行处理，防止二次入侵。

6. 执行以下命令检查SSH公钥中是否存在挖矿病毒，防止出现持续后门。

   cat .ssh/authorized_keys

   

7. 查看其他服务器中是否存在挖矿行为，防止挖矿病毒重复感染内网中的其他服务器。