恶意挖矿进程redis-server占满CPU解决办法

### 清除 Redis 挖矿病毒完整操作指南

**立即切断网络连接**
```bash
systemctl stop network
# 或
ifdown eth0
```

**终止恶意进程**
```bash
kill -9 40358
ps aux | grep -E "redis-server|/var/opt" | grep -v grep
pkill -f "/var/opt/\."
pkill -f "redis-server.*2589248"
```

**删除病毒文件**
```bash
rm -rf /var/opt/.\ /var/opt/.\ 2>/dev/null
cd /var/opt
ls -li
find . -inum 123456 -exec rm -rf {} \;
```

**清除持久化启动项**

**检查 crontab**
```bash
crontab -l -u root
for user in $(cut -f1 -d: /etc/passwd); do echo "=== $user ==="; crontab -u $user -l 2>/dev/null; done
crontab -r -u root
```

**检查 systemd 服务**
```bash
systemctl list-unit-files | grep -E "redis|var|opt|http|mine|xmr|stratum"
ls -lt /etc/systemd/system/ | head -20
systemctl stop 可疑服务名
systemctl disable 可疑服务名
```

**检查其他启动位置**
```bash
cat /etc/rc.d/rc.local
ls -lt /etc/init.d/
grep -r "redis-server" /etc/profile /etc/bashrc /root/.bashrc
```

**检查 SSH 后门**
```bash
cat /root/.ssh/authorized_keys
> /root/.ssh/authorized_keys
```

**Rootkit 检测**
```bash
yum install -y epel-release && yum install -y rkhunter
rkhunter --check --sk
```

---

### 病毒特征说明
1. 创建隐藏目录 `/var/opt/. `
2. 修改 crontab 添加 `@reboot` 启动项
3. 进程伪装为 redis-server 但 VSZ 异常（约 2589248）
4. 可能植入 SSH 公钥实现持久化

### 后续防护建议
- 修改 Redis 默认端口
- 启用 Redis 密码认证
- 配置防火墙限制 Redis 端口访问
- 定期检查系统异常进程和网络连接