隔壁的服务器被人用来挖矿，让我帮忙看一下。每天10pm到6am运行，有人登录就自动停下来。ps/top/htop/lsof/ls 都看不到任何进程和相关的文件。只是在自动停的一瞬间显示有一个叫做htral的程序在运行。
费了很大功夫才找到这些恶意文件。有两个bash脚本放在 /usr/bin 下面。每次都是它们把一个 /usr/include 下面的 tok.h （实际上是一个binary执行命令）拷贝到 /tmp 下面运行，马上又从 /tmp 下面删除。同时，有一个隐藏在 /usr/lib/rpm 下面的内核模块，insmod 插入内核之后就会修改 ps/top/htop/lsof/ls 的输出，屏蔽相关的进程和文件。这个模块还有一个特征：自带一个叫做 mypenislong 的命令，任何人运行就变成root。
删掉这些文件，以为就万事大吉。想不到晚上10点钟挖矿程序又启动了。再次搜索，发现 /var/tmp/.lock 下面5个恶意文件，其中两个脚本，一个类似的挖矿程序，一个库文件。脚本文件修改 /etc/ld.preload，强制load这个库文件，估计也是屏蔽 ps/top/htop/lsof/ls 输出的。脚本还负责晚上10点运行、早上6点收工，以及监视是否有人登录。
费了很大功夫才找到这些恶意文件。有两个bash脚本放在 /usr/bin 下面。每次都是它们把一个 /usr/include 下面的 tok.h （实际上是一个binary执行命令）拷贝到 /tmp 下面运行，马上又从 /tmp 下面删除。同时，有一个隐藏在 /usr/lib/rpm 下面的内核模块，insmod 插入内核之后就会修改 ps/top/htop/lsof/ls 的输出，屏蔽相关的进程和文件。这个模块还有一个特征：自带一个叫做 mypenislong 的命令，任何人运行就变成root。
删掉这些文件，以为就万事大吉。想不到晚上10点钟挖矿程序又启动了。再次搜索，发现 /var/tmp/.lock 下面5个恶意文件，其中两个脚本，一个类似的挖矿程序，一个库文件。脚本文件修改 /etc/ld.preload，强制load这个库文件，估计也是屏蔽 ps/top/htop/lsof/ls 输出的。脚本还负责晚上10点运行、早上6点收工，以及监视是否有人登录。
有点厉害，我的服务器曾经直接被改掉了登录密码，但是我查看登录日志发现只有我自己的登录记录，后面我也一直没找到痕迹
，大佬能不能提供一点建议？
