在我运行的基于 KVM 的服务器上，有一个进程占用了 100% 的 CPU。
这是 htop 的输出。
PID USER PRI NI VIRT RES SHR S CPU% MEM% TIME+ Command
22230 adminx 20 0 185M 3468 1600 S 100. 0.5 72h45:33 apache
22232 adminx 20 0 185M 3468 1600 R 100. 0.5 72h45:12 apache
10660 root 20 0 26880 4680 3176 R 0.0 0.6 0:00.11 htop
1061 root 20 0 276M 5796 0 S 0.0 0.8 0:05.59 /usr/lib/snapd/snapd
9529 root 20 0 92796 6916 5992 S 0.7 0.9 0:00.11 sshd: root@pts/3
进程名称是apache，用户是adminx。系统上不应该有任何可执行的 apache，用户adminx在任何情况下都不应该运行它。
两个 pid的输出strace如下所示。
strace -p 22230
epoll_wait(7, [], 1024, 204) = 0
epoll_wait(7, [], 1024, 34) = 0
epoll_wait(7, [], 1024, 500) = 0
epoll_wait(7, [], 1024, 465) = 0
epoll_wait(7, [], 1024, 34) = 0
......
strace -p 22232
sched_yield() = 0
sched_yield() = 0
sched_yield() = 0
sched_yield() = 0
sched_yield() = 0
......
我不知道这个过程是如何起源的，服务器可能被黑了。我已经终止了进程，并计划重新安装服务器。
鉴于这种性质，如果没有该名称的可执行文件，您如何跟踪进程是如何开始的？如何捕获可执行文件的内存映像以供分析，以及如何分析其内存分配？
PS。我找到了可执行文件的名称。它似乎被复制到共享内存并被删除。
adminx@gw06 ~ ls -l /proc/10160/exe
lrwxrwxrwx 1 adminx adminx 0 Jun 3 09:22 /proc/10160/exe -> /dev/shm/apache (deleted)