AWS 云服务器被挖矿病毒 kdevtmpfsi 攻击了该怎么办?

[chirsgod]

周六公司小程序的生产服务挂掉了，当时就重启了服务并未多想，今天早上上班排查了一下问题就发现 kdevtmpfsi 挖矿病毒导致服务器的 CPU 占用率为百分百。当时就按照阿里云的文章开始解决问题。发现无论怎么删除 kdevtmpfsi 和 kinsing 服务都会被重新挂起。crontab 删除了远程执行，还是会重新写入。服务器只开了 80 、443 和 22 三个端口，数据库和 redis 都是采买的亚马逊的，本地有个测试的 redis ，只用来本地连接没用设置密码。请问如何干净彻底的杀毒？

[defunct9]

开 ssh ，让我上去看看

[ondeay]

除了 crontab ，还有开机自启服务目录，system 服务目录，i 属性的挖矿脚本都要删除

[darrh00]

我也可以上去看看

[proxytoworld]

看服务日志、ssh 日志，看从哪爆破或者利用漏洞进去服务器的，这种一般都会运行一段 sh 脚本，看看能不能拿到原始的脚本，看他持久化怎么做的

[proxytoworld]

如果是 root 权限，还要注意有没有安装 r0 的 rootkit

[cslive]

重装系统，redis 不设置密码等着下次被攻击

[whileFalse]

把机器删了重建

[retanoj]

看得是 https://help.aliyun.com/zh/ecs/processing-of-kdevtmpfsi-mining-virus-implanted-in-linux-instances 这篇吗？
还是看 https://github.com/yangpeng14/DevOps/blob/master/ops/Linux%E6%9C%8D%E5%8A%A1%E5%99%A8%E4%B8%8A%E6%9C%89%E6%8C%96%E7%9F%BF%E7%97%85%E6%AF%92kdevtmpfsi%E5%A6%82%E4%BD%95%E5%A4%84%E7%90%86.md 这个吧。

记得本地 redis 先停掉

[yumusb]

开 ssh ，让我上去看看

[YaakovZiv]

安全组和虚拟防火墙是不是允许出流量全部了。我见过阻塞了大部分进流量，还是可以被攻击的情况，云主机主动访问一台肉鸡重复感染。

[dode]

备份数据，重装系统，调查漏洞

[totoro52]

《开 ssh ，让我上去看看》

[mingwiki]

这个病毒我遇到过好几次了，手动可以清除。我 PHP 中一次，postgres 中一次。先把 crontab 清理了，然后 killall kill -9 , 各个目录找一找删一删就行了，主要是要关闭端口。只有 80 、443 和 22 三个端口不可能中这个病毒，可能还有别的端口开着。

[chirsgod]

@proxytoworld #4 好的好的，目前是弄了个脚本每分钟定期删一波文件

[chirsgod]

@retanoj 目前已经把本地的 redis 给停掉了