服务器中了 Xmrig 木马

首先发现服务器 4 核 cpu 爆满，然后找到执行的路径。 木马文件路径如下：

/tmp/.mx
├── a
├── a2
├── cron.d
├── h64
├── run
├── update
├── update2
├── x
├── x2
└── xm64

发现 cron.d 中不断执行* * * * * /tmp/.mx/update >/dev/null 2>&1 和 * * * * * /tmp/.ICE-unix/.init/./sshd -lan 局域网 ip;

通过尝试手动执行 update, 提示信息出了 https://xmrig.com/wizard , 遂知是 xmrig 挖矿木马;

但是/tmp/.ICE-unix/文件下并没有任何文件，所以想知道那个 sshd -lan #IP 到底是干什么的?

至于清理木马，直接把 /tmp/.mx 文件删了，crontab 清理了，kill 掉执行的木马进程即可。