核心要点 - 先看 systemd、crontab 和启动脚本 - 再看陌生二进制和临时目录 - 最后看外联地址和端口占用

关键方法 先看 CPU、内存、磁盘和网络的变化，再对照计划任务、开机启动和外联地址。挖矿程序常常会伪装成正常进程，停掉表面进程不代表真正解决。重点是找出它的启动方式、落地目录和复活路径，必要时还要回溯下载器和脚本来源。

注意事项 清理时要同步更换密码、关闭多余端口、检查下载器和脚本残留。若机器曾经被反复感染，说明入口还在，必须从系统、程序和权限三个层面一起收紧。