GCP项目因疑似挖矿被暂停，求助排查及恢复方案

• 查资源使用记录：
  • 打开GCP控制台（如果还能进入核心日志模块），查看Compute Engine的虚拟机实例历史，找有没有创建过配置异常的实例——比如高CPU/GPU机型、长时间满负载运行的实例。
  • 进入Cloud Logging查看审计日志，过滤resource.type="gce_instance"或resource.type="kubernetes_cluster"，查找创建/启动/修改实例的操作记录，重点关注该开发者账号的操作痕迹。
• 查异常进程与镜像：
  • 如果还能通过SSH访问未被关停的实例，执行top或htop命令查看CPU占用率高的进程，排查是否存在陌生挖矿程序（比如常见的xmrig、cpuminer这类进程名）。
  • 检查实例使用的镜像，确认是否被替换为非官方/非你指定的镜像，或者镜像中是否被植入挖矿脚本。
• 查网络流量与外部连接：
  • 查看VPC的流量日志，排查是否有大量出站连接指向已知挖矿池IP（可通过常见挖矿池IP段对比核查）。
  • 检查Cloud NAT或防火墙规则，看是否有新增的允许大量出站流量的规则，尤其是指向可疑地址的配置。
• 查账单明细：
  • 打开GCP账单页面，查看近期是否有异常资源消耗（比如GPU/高CPU实例的突增费用），对比正常开发阶段的消耗数据，定位异常支出对应的资源。

• 立刻撤销开发者所有权限：
  • 进入IAM & Admin页面，找到该开发者的账号，直接移除其所有角色（包括Editor、Owner等任何你授予的权限），确保其无法再操作任何项目资源。
  • 检查是否通过服务账号授予过权限，若开发者持有服务账号密钥，立即删除该服务账号的所有密钥，甚至直接禁用/删除可疑的服务账号。
• 关停可疑资源：
  • 立即关停所有非你本人创建的虚拟机实例、容器集群、云函数等资源，尤其是高算力配置的异常实例，防止继续产生违规行为或额外费用。
  • 检查自动扩缩容规则是否被修改，若有异常，立即删除或重置规则，避免自动创建新的挖矿实例。
• 重置项目密钥与凭证：
  • 重置项目的所有API密钥、OAuth凭证，防止开发者利用已获取的凭证继续访问项目资源。
  • 检查Cloud Storage或Secret Manager中存储的敏感凭证是否泄露，若有，立即更新这些凭证。
• 清理防火墙与网络规则：
  • 查看所有防火墙规则，删除任何非你配置的、允许出站到可疑地址的规则，限制不必要的外部连接。
  • 检查VPC peering或VPN连接，若存在陌生配置，立即断开连接。

内容的提问来源于stack exchange，提问作者Davis