Пошагово: top показывает высокий sys-time и подозрительный процесс (например, systemd ест CPU) → strace -c -p 1 выявляет аномалию (много waitid — PID 1 постоянно кого-то порождает и хоронит) → watch ps --ppid 1 ловит мелькающие короткоживущие процессы → find находит скрипт (/var/games/a.sh — майнер) → обезвредить и вычистить автозапуск (cron, systemd timers, profile).