凌晨两点，VPS 的 CPU 长期跑满，监控里出现陌生矿池地址，进程被杀后还会自动重启。直接结束进程看似省事，却会抹掉父子关系、启动参数和文件时间线。正确顺序是先隔离影响、保全证据，再确认恶意进程溯源结果，而不是看到高负载就重装。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：tmhhost（全球代理网络），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
原理是：挖矿收益依赖持续在线和稳定算力，因此程序常改名伪装，并借助定时任务、启动脚本或被篡改的服务实现持久化入口。先记录进程树、CPU、内存、启动时间、命令行、可执行文件路径及哈希；若业务在容器中，还要检查特权模式、危险 capabilities、宿主机目录挂载和 docker.sock，这些都可能构成容器逃逸排查中的高风险入口。
具体定位时，从 /proc 中读取进程实际指向的 exe、cwd、root 和 cgroup，沿父进程追到最初启动者。文件名相似不代表同源，哈希、签名、文件属主和创建时间比进程名更可信。采集动作应尽量只读，并将时间统一时区；条件允许时先做磁盘快照，再保留内存与网络连接信息。
再看异常出站连接：用 ss 记录连接状态，把 PID 与进程对应，核对矿池常见端口、陌生 DNS 请求、TLS 握手目标和历史基线。加密流量看不到完整 URL，不能仅凭陌生 IP 定罪；单次连接也可能是正常依赖，应结合持续周期、流量方向和多台主机的同源行为判断。
持久化排查要覆盖 systemd service 与 timer、cron、at、rc.local、shell 配置、SSH authorized_keys、动态链接预加载和可疑内核模块。逐项核对文件内容、属主、权限、inode 与时间戳，并与安装日志、升级记录交叉验证。不要只相信包管理器校验结果，攻击者取得 root 后可能修改校验链或直接绕过它。
容器环境还要检查运行时配置、挂载点、namespace 能力和宿主机 socket；发现可写宿主目录、共享 PID namespace 或异常设备节点时，应先备份容器元数据与日志，再决定是否停止实例。排查期间可借助随身服务器保存脱敏后的哈希、连接记录和日志副本，但不要把未知二进制直接带回生产环境。
最终采用系统重装决策：若存在内核级隐藏、未解释的启动项、可信凭据泄露、容器边界已被突破，或攻击路径跨多个用户与文件，原地清理很难证明彻底，应重装并从可信镜像重建。若证据显示只有单一进程，经隔离后入口唯一、文件可校验、无横向迹象且补丁可验证，才适合原地清理。无论哪种路线，都要轮换密钥并从干净设备检查备份。
发现 CPU 持续满载或进程名随机时，先保留现场：记录 PID、PPID、启动时间、用户、cgroup、命令行和文件哈希，再查看 /proc/PID/exe、cwd、fd。若 exe 显示 (deleted)，原文件可能已被删除；结合父进程链、终端历史和临时目录脚本还原恶意进程溯源。不要只按进程名搜索，改名、注入与 PID 复用都会制造误判。
取证后先隔离主机，再终止进程，审计 cron、systemd service/timer、Shell 配置、SSH authorized_keys、sudoers、LD_PRELOAD、udev 规则及临时目录。只删矿工而不拆启动链，通常会再次拉起；隐藏文件、相似拼写和失效软链接也是持久化入口分析的盲区。
对已退出的进程，应从审计日志、EDR、Shell 历史和 journal 补齐时间线，并保存样本哈希。排查时保留进程 fd、环境变量、连接队列及内存配置；只扫描磁盘会漏掉无落盘组件。
将异常出站连接与业务基线对照：用 ss -plantu 找到进程和远端 IP，检查长期连接、随机 DNS、代理端口、矿池域名及证书归属。容器共享宿主网络时，连接可能显示在 docker-proxy、容器 PID 或宿主机进程名下，不能仅凭端口下结论。
不要只封禁单个 IP，矿池域名和代理会变化；应保存连接五元组，并核对 DNS 缓存、代理环境变量及容器转发规则。若容器拥有特权、host 网络或 PID，挂载宿主机目录，并暴露 docker.sock 或设备，应按容器逃逸排查：检查 capabilities、SecurityContext、/proc/1/root、挂载传播和设备映射。
发现宿主机根目录被写入、密钥被读取或存在逃逸痕迹，应立即下线容器并轮换凭据，不能只重启容器。即使容器已删除，namespace、镜像层与运行时事件仍可能留证；过早清理镜像或事件会破坏溯源链。
系统重装决策不能只看矿工是否停止。若发现内核模块、引导项、被替换的系统二进制、未知 rootkit，或攻击者已取得 root 且取证不完整，磁盘清理无法证明可信，应备份业务数据后重装；只有攻击面明确、持久化项可枚举、完整性校验通过时，才适合清除服务、升级补丁并持续监控。
可执行检查清单：①保存日志、流量、样本与时间线；②核对父子进程、文件哈希和临时目录；③逐项审计 cron、systemd、启动脚本、SSH 密钥、sudoers、ld.so.preload；④检查监听端口、DNS、矿池域名和代理转发；⑤审查容器权限、挂载、命名空间及 docker.sock；⑥封禁恶意地址，轮换可能泄露的密码、令牌和 API 密钥；⑦清理后观察 2472 小时。若仍有未知进程、无法解释的启动项或异常连接，直接转入重装流程；重装时应从可信介质启动，仅迁移业务数据，完成补丁和凭据重建后再恢复服务。
