CPU 跑满、账单翻倍：服务器可能被拿去挖矿了

有个客户的云账单某个月突然涨了三倍，最初以为是业务增长。登上服务器一看：CPU 长期 100%，进程名是一串随机字符，出网流量全指向境外 IP。

这不是业务爆发，是服务器被入侵后拿去挖矿了。类似的用途还有被当作跳板、被用来发垃圾邮件、被植入勒索软件。

一、几个典型信号

• CPU、内存长期高位，业务量却没有相应增长；
• 账单异常：计算、带宽、快照费用突增；
• 系统里出现陌生进程、陌生账号、陌生定时任务；
• SSH 登录日志里有大量失败尝试，或来自陌生 IP 的成功登录；
• 安全组里多了不认识的放行规则，或者端口对全网开放；
• 网站被插入陌生链接、跳转代码，搜索结果里出现奇怪页面。

二、发现之后，先做什么

顺序很重要：先隔离，再取证，后清理。

• 隔离：把实例从负载均衡摘掉，修改安全组只放行管理 IP，必要时关机。注意关机可能丢失内存中的证据，紧急情况可以先做快照再操作；
• 取证：给系统盘做快照或镜像，导出登录日志、进程列表、网络连接、定时任务、最近修改的文件；
• 评估：确认是否涉及用户数据泄露，按内部流程决定是否需要上报和通知客户。

三、三件不要做的事

不要只删进程。多数挖矿木马带守护进程和自启动项，删掉几分钟就复活，你还以为处理好了。

不要在原机上反复查杀后继续用。被入侵过的系统，无法确认是否还有后门、是否已被植入其他组件。

不要只处理这一台。同一 VPC 内的其他实例、数据库、对象存储、密钥管理，都要排查横向移动。

四、入侵入口通常在哪

• 弱密码加默认端口：22 端口对全网开放，配上简单密码，是最常见的入口；
• 未修补的漏洞：Web 框架、中间件、插件、老版本组件；
• 未授权访问：Redis、MongoDB、Elasticsearch 直接暴露公网；
• 泄露的密钥：代码仓库里的 AccessKey、配置文件里的数据库密码、离职人员手里的凭据；
• 第三方组件与供应链：来源不明的镜像、插件、开源包。

五、清理与重建

生产环境的推荐做法不是「修」，而是重建：用干净镜像重新部署，数据从备份恢复（恢复前先扫描），所有密钥与证书全部轮换，安全组重新收敛到最小权限。

重建看起来麻烦，实际比反复查杀更省时间，也更彻底。

六、之后要补的几件事

• 关闭公网 SSH，改用堡垒机或跳板，限制来源 IP；
• 开启双因素认证，禁用密码登录或强制定期更换；
• 系统与组件建立补丁机制，别等出事才升级；
• 部署主机安全 agent 与入侵检测，至少要有告警；
• 云账号开启操作审计，密钥定期轮换，禁止硬编码在代码里；
• 设置账单告警，费用突增自动通知；
• 定期备份，并且真的演练一次恢复，别只备份不验证。

七、账单能追回来吗

因被入侵产生的资源消耗，云厂商通常不承担，SLA 也不覆盖这类情形。能做的只有及时止损：发现后立刻停机、保留证据、评估是否需要报案，同时排查是否有数据外泄的对外责任。

写在最后

云服务器买来默认是「裸奔」的。安全组、密码、补丁这些基本功不做，被盯上只是时间问题。名牌商务网提供云服务器部署、安全加固与运维托管服务，可以把这几道防线一次性配好。