Мы пару лет назад пилили небольшой скрипт на гиперах, который определял ВМ, которые майнингом занимались.
Данные тянули из virsh. Формулу для расчета брали из статьи:
https://stackoverflow.com/questions/40468370/what-does-cpu-time-represent-exactly-in-libvirtМожно было и из вывода ps тянуть, но мы заметили, что ps не всегда корректно отображает спад нагрузки на CPU ВМ. То есть в ВМ уже нагрузка пропала, а в ps нагрузка осталась.
И все это с гиперов отсылалось в zabbix.