分享美国服务器被植入挖矿木马后的完整排查和清除流程，从发现问题到加固防御。
问题一：CPU 突然跑满 表现：服务器 CPU 长期 100%，但 top 看不到异常进程。 可能原因：被植入挖矿木马，进程隐藏。 排查步骤：top -H 看线程；ps aux 看所有进程；检查定时任务；检查启动项。 快速修复：kill 挖矿进程；删除恶意文件；检查是否有 rootkit；重装系统最稳妥。
问题二：发现未知定时任务 表现：crontab 里有未知任务，定期下载和执行脚本。 可能原因：挖矿木马的持久化机制。 排查步骤：crontab -l 查看；检查 /etc/cron.* 目录；查看 /var/spool/cron。 快速修复：删除恶意定时任务；检查所有用户的 crontab；排查下载的脚本。
问题三：SSH 登录异常 表现：last 显示未知 IP 登录，或登录后有异常操作。 可能原因：SSH 弱口令被爆破，攻击者植入木马。 排查步骤：last 和 lastb 看登录记录；检查 /var/log/auth.log；查看 authorized_keys。 快速修复：删除未知 SSH 密钥；修改所有密码；禁用密码登录；封禁攻击 IP。
问题四：发现未知进程和连接 表现：netstat 显示未知出站连接，连接到矿池地址。 可能原因：挖矿程序正在运行。 排查步骤：netstat -anp 看连接；lsof 看进程打开的文件；strace 跟踪系统调用。 快速修复：kill 进程；删除恶意文件；检查是否有其他后门。
问题五：清除后又出现 表现：删除木马文件后，过一段时间又出现。 可能原因：有持久化机制未清理干净。 排查步骤：检查 systemd 服务；检查 rc.local；检查 /etc/init.d；检查 LD_PRELOAD。 快速修复：清理所有持久化入口；重装系统最安全；安装入侵检测。
完整清除流程 1) 隔离：断开网络，防止进一步破坏 2) 备份：备份重要数据（注意不要备份恶意文件） 3) 排查：全盘扫描，定位所有恶意文件和持久化 4) 清除：删除恶意文件，清理持久化入口 5) 加固：修改密码，关闭端口，安装安全软件 6) 验证：确认木马已清除，无异常进程和连接 7) 恢复：恢复业务，加强监控
预防措施 1) 强密码 + SSH 密钥登录 2) 关闭不必要的端口和服务 3) 及时打安全补丁 4) 安装杀毒软件和入侵检测 5) 定期安全扫描 6) 最小权限原则
经验：挖矿木马清除后一定要找入侵入口并修复，否则会再次被入侵。如果不确定是否清干净，重装系统是最稳妥的方案。