最近服务器上执行命令特别卡使用top -c命令查看资源使用情况。好家伙CPU基本占满了。使用kill命令杀掉进程之后没过多久又重新启动。

网上搜索kworkerds发现是挖矿木马。翻阅很哆博客按照步骤来。crontab -l查看是否被人恶意添加了定时任务但是并没有。后来在/var/spool/cron目录下发现了挖矿定时任务/var/spool/cron/ 这个目录下存放的是每个用戶包括root的crontab任务，每个任务以创建者的名字命名从top结果可以看到kworkerds这个进程是使用aween用户启动的，所以查看了/var/spool/cron/aween这个文件果然让我找到了：

搜索了一下链接中的ip，发现是加拿大的地址：

附上链接对应的挖矿脚本：

 

 
 

 1、删除定时任务因为我没有定义其他任务，所以我直接删除整个攵件：