问题：WmiApSvr.exe,门罗币挖矿病毒木马，cpu占用99%。病毒原理及处理方法。 - 梦飞科技

这是一个新型的挖矿病毒，亚洲服务器租用 欧洲服务器，此挖矿病毒构造复杂，善于伪装，像影子般依附到系统环境。
目前该病毒已挖得3350个门罗币，获利约合人民币268万人民币

我们云主机经常看到的是最后生成的挖矿程序Wmi|ApSvr.exe,占用cpu100%,导致机房卡死，无法远程，网站无法打开等。

下图是病毒的五个样本，我们平时见到的是第四个挖矿程序。

病毒运行原理：

梦飞科技" src="http://oa.MFISP.com/kindeditor/attached/image/20180927/20180927211804_2828.jpg" />

处理方法：

[1] 结束进程：WmiApSvr.exe、svchost.exe（注意是没有父进程的svchost.exe）。

[2] 删除如下文件：

x1.exe

64.exe

C:WindowsMicrosoft.NETFrameworkspnet_wp.exe

C:Program FilesMSBuildServices.exe

C:Program FilesCommon FilesWmiApSvr.exe

[3] 删除服务：clr_optimization_v3.0.50727_32、Services。