坏事了，中毒了

已基本确认：这台机器中了恶意程序，CPU 100% 是 XMRig 挖矿程序导致的，不是正常的 cupsd 打印服务。

关键证据：

• 最高 CPU 进程是：

  PID 992663  /usr/sbin/cupsd  CPU 95.7%
  
  
  
      
  
    

  
  


• 机器只有 1 个 CPU 核心，所以一个进程占满就会显示接近 100%。


• /usr/sbin/cupsd 不属于系统安装的软件包：

  dpkg: package 'cups-daemon' is not installed
  
  
  
      
  
    

  
  


• 该文件是一个异常的、约 10 MB 的静态 ELF 文件，创建于：

  Sep 7 14:30:37 2026
  
  
  
      
  
    

  
  


• 二进制中包含明确的挖矿特征：

  xmrig
  
  monero
  
  c3pool
  
  stratum+ssl://
  
  
  
      
  
    

  
  


• 当前正在连接矿池/服务器：

  104.233.195.181:45998 -> 57.129.119.218:80
  
  vps-fed67feb.vps.ovh.net
  
  
  
      
  
    

  
  


• 存在每分钟执行一次的持久化任务：

  /etc/cron.d/cupsd-keepalive
  
  
  
      
  
    

  
  它会：
  
  
  
  • 从 /var/local/.cup/vc.bin 恢复恶意文件
  
  
  • 重启 cupsd.service
  
  
  • 设置服务开机启动
  
  
  • 尝试禁用 AppArmor
  
  
  
  


• 同时还伪造了：

  /etc/systemd/system/cupsd.service
  
  
  
      
  
    

  
  

这不是普通病毒扫描意义上的误报，而是一个伪装成 cupsd 的 Monero 挖矿木马，并且已经取得 root 权限。

目前我还没有删除或停止任何东西。建议立即采取以下措施：

1. 先隔离网络，至少临时限制对外连接，避免继续挖矿和远程控制。


2. 不要直接重启，因为恶意 cron 会在启动后恢复它。


3. 停止并禁用恶意 cupsd.service。


4. 删除恶意二进制、/var/local/.cup/vc.bin 和 /etc/cron.d/cupsd-keepalive。


5. 检查并清理其他持久化入口。


6. 更换这台机器上使用过的：
   
   
   
   • SSH 密钥
   
   
   • root 密码
   
   
   • API Token
   
   
   • 数据库密码
   
   
   • Docker、代理及面板凭据
   
   
   
   


7. 检查 authorized_keys、SSH 登录日志以及 Docker 容器，确认入侵入口。


8. 由于攻击者已经拥有 root 权限，最稳妥的方式是备份必要数据后重装系统。

如果你要我继续处理，我可以下一步先做不删除文件的完整入侵排查，或者直接执行隔离、停止挖矿并清理持久化。