xmr.exe木马病毒（XMRV病毒）
本文目录一览：
- 1、linux病毒查杀
- 2、电脑时不时就会很卡，有个Updatedg.exe占用很高，一下就消失了，W10的更新我都禁用了，求解！
- 3、电脑被xmr-eu2.nanopool.org:14433占用资源是怎么回事？
- 4、卡巴基斯病毒库过期怎么办啊
- 5、笔记本老显示monero(xmr )cpu miner已停止工作什么意思
linux病毒查杀
【2】可疑文件路径
【3】可疑网络连接
2.常见Linux病毒家族
老一辈： BillGates
新生代家族： DDG、SystemMiner、StartMiner、WatchDogMiner、XorDDos、Icnanker
IoT家族：Mirai、Gafgyt
4.三步轻松清除挖矿病毒
【1-1】定位挖矿进程 1.top、htop
【1-2】清除挖矿进程 kill -9 [pid]
【2-1】根据进程信息定位文件 ll /proc/[pid]/exe
【2-2】删除文件/文件夹 rm -rf [filepath/dir_path]
【3-1】检查定时任务 crontab -l , ll /etc/cron.d/
【3-2】清除定时任务 crontab -r *注意是否存在业务需要的定时任务
【3-3】删除指定定时任务 grep -r "curl" /var/spool/cron
【3-4】 删除定时任务文件 rm /etc/cron.d/[file]
5.顽固病毒对抗技巧
关键字关联可以进程： ps -elf | grep [sh、wget、curl、xmr、mine、ssh] | grep -v grep
6.主机卡顿但找不到挖矿进程
使用busybox的top命令，
电脑时不时就会很卡，有个Updatedg.exe占用很高，一下就消失了，W10的更新我都禁用了，求解！
2020年4月9日更新回复，问题已解决，在回答的下方
2020年4月8日：
虽然已经过去很久了，但还是回答一下，我最近遇到了类似的问题，你可能中了门罗币挖矿的木马，在C盘比较深的目录下有个CMDC.exe，每次鼠标静止一段时间以后就会开始执行，鼠标一动就从资源管理器里面消失了，最终是借助微软的processexplorer工具监控到的。暂时还没找到解决办法，删除掉以后，鼠标静止一段时间又会重新创建相关文件。最下面那个config文件里面写明了是由xmr-stak生成的，在百度之类的搜这个是可以搜到的。
2020年4月9日，问题已解决，估计遇到的是个挖矿木马的生手或新手，4月8日回复完本问题后继续做了如下动作：
依据CMDC.exe的文件创建时间，使用search everything工具(cmdc所在的目录直接用资源管理器打开的话，看不到任何文件，只能借助工具)的高级搜索功能，查找当日及之前2天内创建的文件，发现在CMDC.exe的上级目录有个CMDC.zip，里面的文件CMDC.exe的相关文件，一系列文件全部删除之。
依据CMDC.exe的文件创建时间，查找所有在18日及2天内安装的程序，期间安装过的程序为uTorrent(手贱用的破解版)，程序卸载，并继续使用search everything工具按关键字utorrent查找所有文件，并删除。
经过上述，电脑无操作20分钟，未再出现CMDC.exe且电脑资源曲线平稳，无温度飙升、风扇狂转的情况。
后来在B站上搜索了一下门罗币，竟然有挖矿教程.....，看了几眼，这东西说白了就是利用电脑的CPU或者GPU进行挖矿，普遍的是CPU，我遇到的是用GPU，相关的配置文件里面会有门罗币的用户账号(只怪我文件删的太快，没法找了)。
总之教训就是，破解的玩意儿能不用就不用，用就要做好心理和财物损失的准备，电脑出现温度异常飙升这种情况要特别注意，可能已经中招了，
p.s. 我最开始还以为是散热出了问题，清理了风扇，重涂了硅脂结果没用。
电脑被xmr-eu2.nanopool.org:14433占用资源是怎么回事？
svchost.exe是微软Windows操作系统中的系统文件，微软官方对它的解释是：svchost.exe 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。这个程序对系统的正常运行是非常重要，而且是不能被结束的。许多服务通过注入到该程序中启动，所以会有多个该文件的进程。.
卡巴基斯病毒库过期怎么办啊
升级呀！
如果不能联网升级的话，可以到卡巴斯基爱好者这个网站去下载离线升级包进行离线升级，它那里也有如何进行离线升级的教程。
笔记本老显示monero(xmr )cpu miner已停止工作什么意思
这个和系统的svchost.exe很像，删除过后一直自动新建出来。
一开始没找到问题之前做了一个任务，每1分钟用taskkill删除这个进行，先缓解一下，然后系统运行的每一个进行都用打开文件位置的方式来确定，找到了一个TEMP文件夹里面的文件，删除掉，另外那个程序就不会再新建出来了。
