服务器被入侵， ps 无法找到一个进程信息，会是什么情况？

[wuxqing]

服务器被入侵，用作挖矿了。有个情况很奇怪

CPU 全部 100%了，但是
ps auxw --sort=%cpu 查不到

用 top 也是看不到，大约间隔 15 左右会有一个 CPU 占比很高的进程出现（/usr/bin/xl2tpd ），这个就是挖矿的程序

这个进程用名称和 PID 都无法查到
ps -ef | grep 'xl2tpd'
ps -p PID

但是
lsof 可以搜到
lsof | grep 'xl2tpd'
lsof -p PID

ls /proc/PID 也是有信息的

通过 lsof 搜到另一个进程
xl2tpd 35993 root *507r REG 0,3 0 975039824 /proc/43977/cmdline
执行程序：/usr/bin/systemd-network

同样用 ps 也是查不到的

[wuxqing]

是伪装成 xl2tpd 的挖矿程序
ps 文件被替换了，不是别名
初步判断是通过 redis 入侵的

[Mdrights]

問下，如果卸載了 Dbus 的話，是不是所有 daemon 都運行不了了？