Linux——kdevtmpfsi（挖矿）进程解决方法与解决过程

男娘i 2023-07-18 02:59 11阅读 0赞

### 问题 ###

CPU堵塞（100%）。我这里的主进程是YDService，你的可能和我的不一致。

![20200323211524511.png][]

### 原因 ###

阿里云公布的威胁快报：[https://yq.aliyun.com/articles/741602][https_yq.aliyun.com_articles_741602]

Redis RCE导致h2Miner蠕虫病毒，其利用Redis未授权或弱口令作为入口，使用主从同步的方式从恶意服务器上同步恶意module，之后在目标机器上加载此恶意module并执行恶意指令。在以往常见的攻击者或蠕虫中，其大多都沿用登陆redis后写入定时任务或写ssh key的方式进行入侵，这种方式受权限与系统类型影响并不一定能够成功。而此次使用redis加载module的攻击方式，可以直接执行任意指令或拿到shell交互环境，危害极大。

### 解决方法  ###

首先通过【cd】命令切换到Redis的安装目录下，然后删除该目录下的 red2.so 文件以及以 kinsing 开头的所有文件。然后执行以下操作：

1、查看进程，记录下占用CPU的进程PID（包括挖矿主进程PID）命令：

top
    
    或
    
    ps aux | less

2、查看异常链接（有助于发现问题缘由），命令：

netstat -natp
    
    或
    
    netstat -natp | grep 进程PID

3、查看定时任务，命令：

crontab -l

![20200323212627817.png][]

**4、（该步骤很重要）删除异常定时任务（要求在root用户下），命令：**

crontab -e

在打开的文本中，按【i】进行编辑删除，输入【:x】保存。

5、定位异常进程，命令：

ps -aux | grep kinsing
    
    ps -aux | grep kdevtmpfsi

![20200323213351398.png][]

6、定位异常进程命令：

systemctl status 进程PID

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzYxODMx_size_16_color_FFFFFF_t_70][]

7、删除第6步的相关文档

rm -rf 文件路径
    
    或（删除全部相关文件）
    find / -name "kinsing*" | xargs rm -rf

8、杀死相关进程，命令：

查询进程号：ps -ef|grep kinsing
    杀死进程（包括主机进程）：kill -9 进程号

9、通过clamAV进行查杀（CentOS的标准yum库中已经包含了clamAV）

安装clamAV：yum -y install clamav
    
    更新病毒库（需要时间很长，大约20~30分钟）：freshclam
    
    查杀当前目录并删除感染的文件：clamscan -r --remove
    
    查杀当前目录并删除感染的文件：clamscan -r
    
    clamAV帮助命令：clamscan help

[20200323211524511.png]: /images/20230528/c5e0ed7fadb748c0a9f84de9affccb3e.png
[https_yq.aliyun.com_articles_741602]: https://yq.aliyun.com/articles/741602
[20200323212627817.png]: /images/20230528/413efc77be8c4dfcbbe761c8dbd5a4e4.png
[20200323213351398.png]: /images/20230528/035f07f55f6e41bb82b57dda50a87fc8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzYxODMx_size_16_color_FFFFFF_t_70]: /images/20230528/dc236e49410645d2ac6db9aa4f8e92a8.png