参考
Linux – kthreaddi 进程导致CPU超高问题 处理记录
第一次处理
使用参考链接2方式，清除了定时任务，kill -s 9 进程之后正常了。由于同事离职没有收到反馈并继续观察。
第二次处理
后续接手项目，发现又有了继续按原方法清理定时任务，发现一条特别的定时任务，路径在/data/wwwroot/default/phpmyadmin 下，[kthreaddi]进程用户是www可能是通过php web方式注入的。看了一下使用oneinstack脚本后没有删除默认工具目录，于是删除default目录。然后禁用nginx默认虚拟主机使其无法通过ip访问，使用安全组关闭其他端口只开放常用端口。
kill 进程，发现没有用还是会自动重启，看了参考链接1的方式，得到灵感猜想可能有另一个进程负责重启[kthreaddi]进程。使用netstat -ltnp命令发现了一个非法进程监听 52281端口
于是kill 掉 非法进程，然后kill 掉 [kthreaddi] 进程，top命令观察发现正常了。
总结
此类木马通过定时任务重启，也可能结合systemd 或init脚本开机自启， 也可能使用其它伪装的正常进程来重启
延展阅读，更复杂案例top查看不到进程