要确定进程、文件生成的原因以及如何创建的，可以通过多种方法进行调查。以下是详细的步骤：
1. 查看进程的信息
使用 ps 命令
查看进程的详细信息，包括命令行参数：
ps -fp <PID>
例如，对于 code-d78a74bcdf 进程：
ps -fp 1104025
ps -fp 2886459
这将显示进程的所有者、父进程ID以及其他相关信息。
使用 cat /proc/<PID>/cmdline
查看进程启动时的命令行参数：
cat /proc/1104025/cmdline
cat /proc/2886459/cmdline
使用 strace
跟踪进程的系统调用，以查看它是如何创建文件的：
strace -p 1104025 -ttt
strace -p 2886459 -ttt
这将显示进程所做的系统调用，可以帮助你了解它是如何创建文件或执行其他操作的。
2. 查看文件的信息
使用 ls -l
查看文件的权限和拥有者：
ls -l /path/to/suspicious/file
使用 find
查找文件创建的时间：
find /path/to/directory -type f -ctime -1
这将列出过去一天内创建的所有文件。
使用 stat
查看文件的详细状态信息，包括创建时间、访问时间等：
stat /path/to/suspicious/file
3. 监控文件系统活动
使用 inotifywait
实时监控文件系统的更改：
sudo inotifywait -m -e create /tmp
这将显示 /tmp 目录下文件的创建情况。
使用 auditd
审计系统活动，记录文件系统更改：
sudo auditctl -w /tmp -p wa -k tmp_create
这将在 /tmp 目录上设置审计规则，记录写入和访问操作。
查看审计日志：
ausearch -k tmp_create
4. 检查计划任务
查看 crontab
检查是否有定时任务创建可疑文件：
crontab -l
sudo crontab -l
查看 /etc/cron.* 文件
检查系统范围内的定时任务：
cat /etc/cron.* | grep -iE 'mining|crypto|miner|\.cfg'
查看 systemd 服务
检查是否有可疑的服务或定时任务：
ls /etc/systemd/system/ | grep -iE 'mining|crypto|miner|\.cfg'
查看服务的详细信息：
cat /etc/systemd/system/<service>.service
5. 检查日志文件
查看系统日志
查看系统日志，查找可疑活动的记录：
cat /var/log/syslog | grep -iE 'mining|crypto|miner|\.cfg'
cat /var/log/auth.log | grep -iE 'mining|crypto|miner|\.cfg'
查看应用日志
查看应用程序的日志文件，如 nginx、sshd 等：
cat /var/log/nginx/access.log | grep -iE 'mining|crypto|miner|\.cfg'
cat /var/log/auth.log | grep -iE 'mining|crypto|miner|\.cfg'
6. 使用安全工具扫描系统
安装并运行安全工具
使用防病毒软件或其他安全工具扫描系统：
sudo clamscan -r /
综合分析
通过上述方法，你可以逐步排查可疑进程和文件是如何生成的，并确定其来源。如果发现可疑进程或文件是由恶意软件生成的，可以按照之前提到的方法进行清理，并采取必要的防护措施，防止未来再次发生类似的情况。
如果你需要进一步的帮助或具体的命令示例，请告诉我。
