centos7.2被感染zigw挖矿病毒处理

1，最初发现病毒是因为npm install前端项目报错找不到document，找到报错的地方，发现js文件多了这行代码

2，top命令查看cpu情况，发现一个zigw占用cpu194%

3，find / -type f -name ‘*.js‘|xargs grep ‘http://t.cn/EvlonFh‘查找所有感染病毒的文件，太多了

4，删除定时任务

crontab -r发现报错，没有权限，这是因为文件加了 -i 属性，查看是否有i属性用lsattr *，文件路径逐个用chattr -i *去i属性，然后删除cron下面的root下的定时任务

5，停掉病毒进程

ps -aux | grep zigw

kill -9 <进程号>

6，下面开始找病毒脚本

ps -ef|grep zigw发现脚本在/etc/zigw，删除该脚本，也是加了-i属性的

7，查看任务计划的配置文件看有没有问题，有就删除相应@L_607_18@

ls -alh /etc/cron.d/

rm -f /etc/cron.d/root

8，恢复系统中被修改的js文件

find / -name ‘*.js‘ | xargs grep -l f4ce9 | xargs sed -i ‘/f4ce9/d‘

9，总结

网上说主要是redis漏洞导致，redis默认是没有密码的

1，给redis设置很复杂的密码

2，修改了redis的默认端口号

腾讯云防范

1，关闭服务器密码登录，启用密钥登录

2，指定可使用云服务的ip，port，其他ip，端口一概不能访问