和xmrig矿机病毒打过几次交道了，之前都是凌晨重装系统…
老了，干不动了，正面交锋吧，记录一下根除xmrig，系统是ubuntu18
1.查看cpu占用
top
可以看到一个名为xmrig的进程把cpu吃满了，进程是6188
2.查找进程目录
ls -l /proc/<进程pid>/exe
这里看到的是/root/c3pool/
3.删除目录
rm -rf <目录>
执行rm -rf /root/c3pool/，干掉生成的目录
4.杀死进程
kill -9 <进程pid>
可以看到cpu瞬间下来了，但是这样并不彻底，还会自启动
5.查看自启动
systemctl list-unit-files --type=service | grep enabled
可以看到c3pool_miner.service、
6.禁用自启动
systemctl disable <服务名>
这里是 systemctl disable c3pool_miner.service 和 systemctl disable
7.删除服务文件
rm -rf /etc/systemd/system/<服务名>
这里是 rm -rf /etc/systemd/system/c3pool_miner.service 和 rm -rf /etc/systemd/system/
8.查看定时任务
crontab -l
可以看到有个curl https://c3pool的定时任务，定时去下载病毒文件
9.删除定时任务
如果有xmrig或xm或c3pool相关的定时任务，则删除
rm -rf /var/spool/cron
这样本次查杀xmrig病毒就完成了，不过这个病毒是怎样注入的，还需要进一步研究。
我猜测是通过443端口进来的，不过我的服务器有些应用必须开443，f**k