排查背景
根据上级网络安全主管部门《关于开展虚拟货币“挖矿”活动专项整治工作的通知》要求，结合近期安全监测平台发现我单位部分终端存在异常外联、CPU占用率持续偏高的情况，信息化管理部门于20XX年X月X日至X月X日组织开展虚拟币挖矿专项排查工作,现将排查情况报告如下。
排查范围
本次排查覆盖单位全部信息化资产,具体包括：
- 服务器XX台（含物理机XX台、虚拟机XX台）；
- 办公终端XXX台；
- 网络设备、安全设备XX台；
- 自建业务系统XX套及所属数据库、中间件。
排查方法与过程
（一）网络流量侧排查
- 通过防火墙、上网行为管理设备导出近30天出口流量日志,重点比对已知矿池域名及IP清单的通信记录；
- 排查Stratum挖矿协议特征，重点关注3333、4444、5555、7777、14444等常见矿池端口；
- 关注重复性、周期性、长连接的外联行为，以及DNS请求中含"pool""mine""xmr"等关键词的解析记录。
（二）主机侧排查
- 进程排查：通过
top、ps aux等命令检查CPU占用异常的进程，重点甄别xmrig、minerd、kdevtmpfsi、kinsing、sysupdate等常见挖矿程序及其伪装名称； - 网络连接排查：使用
netstat -antp检查可疑外联进程及端口； - 持久化排查：检查crontab定时任务、
/etc/cron.*目录、systemd服务、启动项、SSH授权文件（authorized_keys）是否被篡改； - 账户排查：核查是否存在攻击者创建的异常账户及提权行为；
- 日志分析：审查系统日志、登录日志，分析异常登录时间、来源IP及命令执行记录。
（三）终端侧排查
依托终端安全管理软件对全部办公终端进行全量病毒扫描与进程采集,并对使用人进行问询登记。
排查发现的问题
经排查,共发现X台设备存在异常情况：
- XX业务服务器（IP：192.168.X.X）：CPU占用率长期维持在90%以上，存在名为"kdevtmpfsi"的可疑进程，crontab中被写入指向外部脚本下载地址的定时任务,判定为感染挖矿病毒；
- XX办公终端：发现员工私自安装浏览器“挖矿插件”，虽未造成严重后果,但存在违规行为；
- 其余设备未发现挖矿程序及矿池通信行为。
处置措施
- 立即隔离：对感染服务器
