我的CC莫名中了挖矿病毒

agent给我诊断记录

查到了，cc CPU 约 50% 是因为 convertx 容器里被植入了加密货币挖矿程序。



关键证据：



- VPS 只有 2 个 vCPU。

- 进程 /tmp/.k9x/systemd-resolv 持续占用约 95% CPU，相当于吃满 1 个核心。

- 该进程连接到：

  - auto.c3pool.org:443

  - 使用 randomx 算法

  - 带有 Monero 矿池钱包地址参数

- 它运行在 Docker 容器 convertx 内：

    convertx CPU=89%~91%

  

- 容器内进程：

    /tmp/.k9x/systemd-resolv ... --randomx-mode=light

  

- 容器还发现了：

    /tmp/.inst.sh

  /tmp/.k9x/systemd-resolv

  

- convertx 容器以 root 用户运行，根文件系统可写，且设置了 unless-stopped，所以重启后矿工可能自动恢复。

- 容器日志中此前有大量针对 .env、.git/config、secrets.yaml 等敏感路径的扫描请求，说明该服务已经被互联网持续探测。具体利用漏洞目前还不能仅凭日志确定。



因此，这不是正常的 ConvertX 转换任务导致的 CPU 占用，而是 ConvertX 容器疑似被远程利用后启动了矿工。目前我没有停止进程、删除文件或重启容器。



建议按以下顺序处理：



1. 先隔离或停止 convertx 容器，避免继续挖矿。

2. 不要直接继续使用当前 convertx-zh:local 镜像，应该从可信源码重新构建或换用可信镜像。

3. 检查 /opt/convertx/data 是否有异常文件。

4. 轮换该容器相关的 JWT_SECRET 等密钥；如果该容器曾接触过其他凭据，也应一并更换。

5. 检查宿主机和其他容器是否存在同类进程、SSH 异常登录和新增持久化任务。

6. 重新部署后限制 ConvertX 的网络暴露和运行权限，最好不要让应用以 root 运行。



目前最直接的 CPU 根因已经确认：convertx 容器中的 Monero RandomX 矿工占满一个 CPU 核心。