求救，centos7被挖矿木马劫持

Question

求救，crontab被木马劫持，一直在发挖矿请求。

定位到来源是/var/spool/mail/root一直接收到木马邮件，我尝试删掉木马文件，停止crontab，可这邮件一来就全启动了，木马文件又生成了。

本来还有个病毒进程，现已删除，但crontab被劫持的还是无法处理。

Answer 1

1. 备份系统盘
2. 重装系统
3. 挂盘备份系统盘，拷贝重要数据

---

1. 关闭不必要的端口
2. 不能关闭则限制IP访问
3. 对外服务尽量避免root启动
4. 修改默认端口

---

大概这样。

Answer 2

由于挖矿有时效星，所以探矿木马必须时常请求它的服务器以获取最新的数据。在治病以前，需要先切断传染源：

比如你可以先添加一条hosts信息：

127.0.0.1 bash.givemexyz.in

这样即使发起curl请求，它也请求不到内容，当然也就不会再挖下去了。接下来你慢慢的查杀它就好。

Answer 3

找到cron配置文件，删掉启动挖矿程序的配置，kill 掉挖矿程序进程

Answer 4

需要注意端口