【问题背景】
顺网技术服务中心接到广西柳州某技术反馈多家网吧出现挖矿问题，并通过退还原点，在纯网维大师环境测试仍然会出现。其认定是网维大师投放的。考虑到事情影响程度较大、为避免影响网维大师产品在当地口碑。技术服务中心第一时间委派专家技术协助其处理此问题。

【问题现象】
1.主要现象描述为用户在玩游戏过程中，画面变得明显幌动，FPS帧数一直在10-30之间波动，并且开机时间越长后面卡的越厉害。
2.此问题出现概率为100%，只要运行任务管理器或者带有检测的技术工具时则自动退出，并且短时间内无法复现。
3.纯网维大师，不安装任何第三方软件都会出现。

【问题结论】
1.用户系统环境为：死性不改15Q1，此操作系统有自带维护通道。（客户机系统开机时会执行游戏盘根目录下的“开机脚本”程序）
2.人为因素在服务端上创建了“开机脚本”文件夹，并把挖矿程序放在里面，且隐藏了该文件夹，达到了挖矿的目的。

【排查过程】
1.客户机开机不开任何游戏跟程序，显卡GPU占用率为70%以上。
2.使用GPU资源占用工具检测出为：xkwggcq.exe（此进程名一般随机创建）进程一直在挖矿操作。

3.通过第三方检查工具windows Monitor工具排查显示此进程是由zpjlcba.exe创建。

4.部署行为抓取工具抓取zpjlcba.exe是由Y:\开机命令\services.exe所创建。

5.查看服务器盘目录隐藏了“开机脚本”创建时间为2018.2.25日。

【解决办法】
1.服务器上取消该文件夹即可

【特别声明】
1、网维大师目前没有投放过任何挖矿相关业务，请广大用户如有遇到此类问题在没有查清楚之前的时候积极联系我们处理，不要道听途说、听信他人说辞，以免造成不必要的麻烦以及误解。

转载请注明：网维大师帮助与支持 » 服务器被入侵导致推送挖矿程序