Linux 服务器出现 /home/.~aegis、/home/.zaegis 是什么

很多运维同学在服务器扫盘、排查异常时，突然发现 home 目录下多了 .~aegis、.zaegis 这类隐藏目录，第一反应：服务器中招、被植入木马了。其实这是阿里云云安全中心（原安骑士、态势感知 Aegis）的防勒索诱饵捕获目录，属于安全组件正常生成，不是入侵痕迹。

一、原理说明

Aegis（AliHips）是阿里云主机安全 Agent，防勒索诱饵捕获是它的一个核心防护能力： 在服务器关键目录放置一批伪装成业务文档的诱饵文件。勒索病毒入侵后，通常会全盘扫描、加密文档，一旦它尝试加密这些诱饵文件，云安全中心立刻捕获行为、触发告警并执行阻断，以此拦截勒索攻击。

常见诱饵目录不止这两个：

• /home/.~aegis
• /home/.zaegis
• !aegis
• /.aegis、/root/.aegis 等

重点：就算你在阿里云控制台关闭了【防勒索诱饵捕获】开关，这些目录不会自动删除，属于残留文件；只要 aegis 进程还在运行，删掉之后会自动重建。

二、怎么判断 Agent 是否还在运行

执行命令查看 aegis /alihips 进程：

ps aux | grep aegis

如果能查到 aegis、alihips 相关进程，说明云安全 Agent 还在服务器上驻留。

三、两种处理方案

✅ 方案 1：继续保留（推荐）

如果你还在使用阿里云云安全中心，建议不要删除。诱饵文件本身几乎不占用资源，是勒索防护的感知陷阱，不影响业务运行。

⚠️ 方案 2：手动删除（确认不再使用 Aegis）

前提：已经卸载阿里云安全 Agent，或者明确不需要这个防护能力。

rm -rf /home/.~aegis /home/.zaegis

坑提醒：Agent 没卸载干净的情况下，删完很快又自动生成，只删目录治标不治本。

四、完整卸载 Aegis（阿里云盾 / 安骑士）脚本

如果确定不再使用云安全中心，先卸载 Agent，诱饵目录才不会反复重建：

wget http://update.aegis.aliyun.com/download/uninstall.sh
chmod +x uninstall.sh
./uninstall.sh

卸载完成后，再执行上面的 rm 命令清理残留诱饵目录。

官方文档提示：部分版本需要先在云安全中心控制台关闭客户端自保护，否则卸载脚本会失败。

五、小结

1. .~aegis / .zaegis = 阿里云 Aegis 防勒索诱饵，不是病毒、不是木马，不等于服务器被黑；
2. 关闭诱饵策略 ≠ 自动清理诱饵目录；
3. 想彻底消失：先卸载 Agent，再删目录；只删目录会反复重建；
4. 业务服务器建议保留，作为勒索病毒的 “蜜罐陷阱”。

官方参考链接：https://help.aliyun.com/zh/security-center/user-guide/faq-about-host-protection