Linux系统虽然以安全稳定著称，但并不意味着不会受到恶意软件和病毒的侵扰。随着服务器和桌面用户增多，针对Linux的挖矿木马、后门脚本以及勒索程序不断出现。当系统出现异常网络请求、CPU负载莫名升高或者关键命令被替换时，就需要及时介入处理。
如何判断系统是否已经感染
在采取清理动作前，应先确认是否真的存在问题。常见迹象包括：未知进程占用大量资源、定时任务中出现陌生条目、系统命令如 ls 或 ps 行为异常。可以通过下面方式初步排查：
- 使用 top 或 htop 查看占用异常的进程
- 检查
/etc/cron*和用户 crontab 内容 - 对比关键二进制文件哈希与官方包
使用杀毒工具进行扫描
ClamAV 是 Linux 下常用的开源查毒工具，可检测多种恶意样本。安装后更新病毒库并扫描全盘：
# 安装 ClamAV（Debian/Ubuntu） sudo apt update sudo apt install clamav clamav-daemon -y # 更新病毒库 sudo freshclam # 扫描根目录并输出日志 sudo clamscan -r / --log=/var/log/clamscan.log
若扫描发现威胁，可用如下命令自动清理：
# 删除扫描到的恶意文件 sudo clamscan -r --remove /home
手动清理顽固恶意程序
有些木马会修改系统服务或注入环境变量。此时需要手动处理：
结束并删除异常进程
# 查找可疑进程 ps aux | grep strange_proc # 结束进程 kill -9 进程PID # 删除对应文件 rm -f /tmp/strange_proc
检查并修复被篡改的服务
查看 /etc/systemd/system/ 下是否有陌生服务，使用 systemctl 禁用并移除：
sudo systemctl disable malicious.service sudo rm /etc/systemd/system/malicious.service sudo systemctl daemon-reload
修复权限与加固系统
恶意软件常利用弱权限提权。建议执行：
- 使用
chmod和chown修正敏感目录权限 - 更新所有软件包补丁
- 禁用不必要的 SSH 密码登录，改用密钥
| 操作项 | 命令示例 |
|---|---|
| 更新系统 | sudo apt upgrade -y |
| 修改SSH配置 | sudo sed -i 's/PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config |
日常预防建议
保持系统安全比事后处理更重要。可配置定时病毒扫描、启用防火墙、仅从官方源安装软件。若发现邮箱或域名相关信息，例如支持邮箱 admin@ipipp.com，请通过正规渠道核实，避免钓鱼风险。只要养成定期审计习惯，Linux 系统的恶意软件问题完全可控。