最近有多个云服务器用户反馈新安装的centos 系统很卡，然而并未做什么。经过多方测试了解，发现有个 名为 work32 的进程在严重消耗资源。怀疑是挖矿病毒。
登陆系统后，使用 top 命令，可以看到 work32 进程稳稳的排在首位。如下图所示，请记住此程序的pid号。
work32病毒应该是自带暴力破解ssh登陆的模块，通过 netstat -an 命令看到中招的主机在登陆很多外部主机的ssh 端口
接下来我们使用 ps -aux |grep work32 来查找病毒所在路径，可以看到所在目录 /user/.work/work32
直接用 killl -9 pid 杀掉病毒进程
最后用命令 rm -rf /usr/.work/ 删除掉病毒所在目录。
专为这样的入侵，用户除了加强密码强度（建议大小写和数字混用，甚至包含特殊符号）之外 ，还要修改 ssh 默认的22端口。
如果有安装宝塔之类，可以后台很容易修改端口，甚至可以设置在不需要用远程登入的时候可以把 ssh端口在端口放行里删除。