| 资源 | top 看单进程 CPU 占比与持续高负载 |
|---|---|
| 网络 | 外连 3333/5555/7777/14444 等矿池端口 |
| 进程 | 仿冒 kworker、java 等命名 |
| 连根清 | 启动脚本、cron、systemd、二进制与临时目录 |
定位矿工进程与连接
定位矿工进程与连接
ps aux --sort=-%cpu | head -n 15
top -b -n1 | head -n 20
ss -antp | grep -E ':(3333|5555|7777|14444)'
find /tmp /dev/shm -name '*.sh' -o -name 'kworker*' 2>/dev/null | head挖矿多与其他入侵伴生：只杀矿工不挖入口，几天内必被重新拉起。