ECScpu和内存高达100%Linux系统CPU异常占用：minerd、tplink等挖矿进程
说明：本文提到的挖矿程序排查场景，仅为技术人员提供故障排查思路，不保证与攻击者实际使用方式一致，具体场景以实际情况为准。
问题描述
云服务器ECSLinux服务器上CPU使用率超过70%，严重时可达到100%，或者服务器响应越来越慢。
原因分析
恶意minerd、tplink进程
在服务器上运行top命令，结果如下：
top
可以看到，有一个minerd（或tplink）的异常进程，占用了大量CPU资源。该进程是服务器被入侵后，被恶意安装的比特币挖矿程序，一般存在于/tmp/目录下。
如果使用top命令查看不到所述进程，可以用ps命令检查相关进程。例如，
ps
可以看到，服务器中存在这个进程。如果它不是您主动开启的，则很可能是被入侵所致。服务器被恶意利用来挖比特币。
隐藏的恶意模块
黑客通过驱动rootkit程序入侵主机，并部署隐藏挖矿程序，CPU使用率可能达到90-100%。该场景无法通过top命令和ps命令来检测确认。
处理方案
恶意minerd、tplink进程
使用如下命令，通过PID获取对应文件的路径。然后，找到并删除对应的文件。
ls-l/proc/$PID/exe
其中，$PID为进程对应的PID号，可以通过ps或者top获取。
使用kill命令关闭进程。
建议您平时增强服务器的安全维护，优化代码，以避免因程序漏洞等导致服务器被入侵。
隐藏的恶意模块
被隐藏的恶意模块一般有：raid.ko、iptable_mac.ko、snd_pcs.ko、usb_pcs.ko和ipv6_kac.ko。您可以使用file/lib/udev/usb_control/...命令，分别检查是否存在以上模块。
例如，使用以下命令查看是否存在iptable_mac.ko模块：
file/lib/udev/usb_control/iptable_mac.ko
结果所示，表明存在隐藏的iptable_mac.ko模块。
