【项目背景】
稀土大厦写字楼里一家贸易公司，机房的文件服务器连续一周半夜CPU飙满、风扇狂转像起飞，白天又恢复正常，电费环比涨了一截，业务倒是没断，管理员一直没当回事，直到杀软偶尔弹出可疑进程告警才找到我们。很多人觉得"没丢数据就没中毒"，实际上挖矿木马就是这种心态的收割对象——它不删你文件不加密你盘，它只是把你的算力和电费变成别人的收益，顺带在你的防线上开了道随时能进人的门。
【咨询设计】
排查按"先留证、后动手"的顺序：内存快照和进程列表先存档，再逐层看。任务管理器里一个伪装成系统进程svchost的陌生实例吃了90%CPU，路径不在System32而在用户临时目录——这是教科书级的伪装破绽；顺着查持久化机制：计划任务、注册表Run键、WMI事件订阅三处都埋了复活逻辑，删进程不拔根，十分钟就自己爬回来，这也是为什么"重启就好了"从来不是答案；再查落点：网络连接里一个稳定外连的矿池域名，DNS日志显示这连接已经持续三周。溯源入口很快锁定：公司一台做测试的老服务器开着Redis 6379端口且无密码，暴露在办公网段，更糟的是防火墙NAT规则里还留着一条当年的公网映射——Redis未授权访问写入计划任务是挖矿投放的经典路径，这台机器就是全案的口子。
【施工规划】
处置四步：先把中毒服务器断网隔离，快照留证；然后逐台终端排查同源痕迹——又清出一台电脑的潜伏样本，同一波投放；三处持久化机制逐一拔除加专杀工具全盘扫；最后恢复业务前重装中毒服务器系统，不搞"杀完继续用"的侥幸——挖矿载荷能落地，就说明这台机器的防线已经被穿透过，底层有没有别的东西没人敢打包票。
【安全补丁】
借这次把全公司的门重新关了一遍：Redis加密码、改端口、限本机监听；防火墙NAT规则逐条审计，砍掉五条没人记得的历史映射；出口防火墙启用威胁情报DNS过滤，矿池域名全线拦截；全网做了一次弱口令审计——扫出十一个弱口令账号当场强制重置；服务器和终端的杀软统一换企业版集中管控。我建议每家公司都做一次"暴露面自查"，方法很简单：把公网IP丢进端口扫描工具，看到的每一个开放端口都要能说清楚是谁开的、为什么开——说不清的就是隐患。
【验收交付】
处置后连续观测两周：夜间CPU负载回到正常曲线，电费回落，威胁情报通道再无矿池访问记录。交付应急处置报告、持久化机制清单和整改台账；管理员上了一课：夜间异常负载不是"服务器老了"，是要查的事件。
【售后承诺】
挖矿木马讲究拔根不复燃，我们承诺2小时上门，大年三十打17704868686也接，终身免费咨询，每季度免费做一次暴露面与弱口令巡检。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）