生產(chǎn)機(jī)器被植入kdevtmpfsi挖礦程序處理

事情經(jīng)過

1, 手機(jī)釘釘收到報(bào)警信息,說阿里云的一臺(tái)機(jī)器負(fù)載過高
2, 根據(jù)報(bào)警信息我們登錄到這臺(tái)機(jī)器上使用 uptime 命令查機(jī)器負(fù)載
![]
然后這臺(tái)機(jī)器的 CPU 是 8 核的,可以判斷出來 CPU 負(fù)載確實(shí)高了
3,這個(gè)時(shí)候通過命令 mpstat 查看到底是應(yīng)為 CPU 還是磁盤造成的負(fù)載高

成都創(chuàng)新互聯(lián)堅(jiān)持“要么做到，要么別承諾”的工作理念，服務(wù)領(lǐng)域包括：成都網(wǎng)站制作、網(wǎng)站建設(shè)、企業(yè)官網(wǎng)、英文網(wǎng)站、手機(jī)端網(wǎng)站、網(wǎng)站推廣等服務(wù)，滿足客戶于互聯(lián)網(wǎng)時(shí)代的徽州網(wǎng)站設(shè)計(jì)、移動(dòng)媒體設(shè)計(jì)的需求，幫助企業(yè)找到有效的互聯(lián)網(wǎng)解決方案。努力成為您成熟可靠的網(wǎng)絡(luò)建設(shè)合作伙伴！

我們可以看到 CPU 使用率基本上每核都達(dá)到了 100%,
4,緊接著我們使用命令 pidstat 來查看到底是哪個(gè)進(jìn)程占用那么高的 CPU

從這里面我們可以看出進(jìn)程 PID 為 28245 的進(jìn)程占用我們大量的 CPU,這個(gè)進(jìn)程看著很陌生,不是我們自己的程序,于是就去百度下這個(gè)

發(fā)現(xiàn)這個(gè)是一個(gè)挖礦病毒,然后心里想 mmp,
現(xiàn)在發(fā)現(xiàn)他是個(gè)挖礦病毒之后我們就開始處理它,看看他的進(jìn)程樹

發(fā)現(xiàn)這個(gè)進(jìn)程是被植入在 redis 容器里面的,果斷給這個(gè)容器刪除,更換鏡像,設(shè)置強(qiáng)密碼,之后得以解決這個(gè)問題

總結(jié):
鏡像不能隨便使用,我們應(yīng)該盡量使用軟件官方制作的 docker 鏡像.