kdevtmpfsi挖矿病毒处理

一、停止kdevtmpfsi

ps aux

杀死进程

kill -9 PID

二、删除定时任务

crontab -l 查看定时任务

crontab -r 删除所有定时任务

三、杀进程及端口

netstat -antp



ps -aux | grep kinsing

ps -aux | grep kdevtmpfsi

四、删除相关文件

find / -name kdevtmpfsi

find / -name kinsing



rm -rf kdevtmpfsi

rm -rf /var/tmp/kinsing

五、额外处理

 查看异常IP地址

netstat -lntupaa

在云平台把异常地址来源IP的所有入站及出站封禁

ps -aux | grep kinsing |grep -v grep|cut -c 9-15 | xargs kill -9
ps -aux | grep kdevtmpfsi |grep -v grep|cut -c 9-15 | xargs kill -9
rm -rf /tmp/kdevtmpfsi
rm -rf /tmp/kinsing

添加定时脚本实时检查及杀死进程、删除文件

 指令

查看cpu占用
top

查看进程
ps -ef | grep kdevtmpfsi

查看守护进程
systemctl status PID

查看计划任务
crontab -l

杀进程
kill -9 PID

搜索文件
find / -name "*kdevtmpfsi*"
find / -name "*kinsing*"

删文件
rm -rf /tmp/kdevtmpfsi

计划任务删除
crontab -e


当前路径
pwd

显示当前路径中文件详情
ll

显示当前路径文件
ls

显示文件
cat

编辑文件
vim

退出文件编辑
Shift+:
q
Enter


查看进程状态
systemctl status PID

crond服务

安装crontab：

yum install crontabs

服务操作说明：

/sbin/service crond start //启动服务

/sbin/service crond stop //关闭服务

/sbin/service crond restart //重启服务

/sbin/service crond reload //重新载入配置

查看crontab服务状态：

service crond status

手动启动crontab服务：

service crond start

查看crontab服务是否已设置为开机启动，执行命令：

ntsysv

加入开机自动启动：

chkconfig –level 35 crond on

一些推测,根据网上总结的经验及自己服务器的配置来看

通过redis端口进入的服务器

自动运行kdevtmpfsi挖矿程序,并注册kinsing守护进程及计划任务