是哪吒惹的祸么？ 还是在我的锐驰上

看到锐驰的内存始终居高不下，用codex分析了下进程，发现异常：

当前情况：

机器只有 961MiB 内存，现在 used 780MiB，swap 已用 1.1GiB。

有 128 个伪装成 kworker 的进程在跑，路径是 /dev/shm/.k…worker_u8，名字里混了不可见字符。

这些进程合计 RSS 约 305MiB，对 1G 内存机器影响很大。

持久化入口包括：/etc/crontab 里有：*/1 * * * * root /.mod

root crontab 里还有两条每分钟保活 /dev/shm/.k…worker_u8 的任务

/.mod 实际执行 /usr/lib/libgdi.so.0.8.1



/usr/lib/libgdi.so.0.8.1 是一个静态链接的 Go ELF 可执行文件，不像正常系统库。

/dev/shm 里两个可执行文件 hash 相同，大小约 1.9MB，明显是投放出来的运行体。

结论：这是疑似恶意程序/挖矿或代理类植入导致的内存异常。它每分钟通过 cron 保活，单纯 kill 进程会复活。

我还没执行清理操作。建议下一步是备份样本、删除 cron 持久化项、kill /dev/shm 可疑进程、移除 /.mod 和 /usr/lib/libgdi.so.0.8.1，然后复查是否还有新增任务或异常登录。



    

  

mmp 现在重装系统！！