服务器被大量 netstat 搞死，求问应该怎么个排查步骤

[narutots]

[lsylsy2]

怎么觉得看起来像是伪装成 netstat 等正常程序的挖矿木马

[cpstar]

还有一堆 awk 和 xargs，应该是用管道做什么分析

[Shirakawa]

挖矿木马伪装的
crontab -l 看看说不准能发现啥玩意

[Lax]

先把执行到程序找到，看看是不是系统自带的 ls -al /proc/<pid>/

[ik]

常用命令被替换了吧……

[GGGG430]

strace -p 6887 看看这些进程在干啥

[ch2]

这个是挖矿病毒

[narutots]

@GGGG430 好的

[narutots]

@Lax 好的