Go 日的挖矿病毒，好好的周末被毁了

[guiling]

白天在外面浪的好好的，收到客户反馈服务崩了，服务器上去一看两个“xm”进程 cpu300%。。。另一个同事卡的 ssh 都连不上

查到最后发现是 docker 里起的服务，病毒文件在容器 tmp 目录里，宿主机/var/lib/docker/overlay2/容器 id/merged/tmp 也有

病毒是个挖矿程序，跟这个帖子一样 https://www.v2ex.com/t/969255 ，也是 c3pool 的账号

这个病毒挺能潜伏的，有日志文件，发现两个月前就在了，只是 cpu 占用不高没被发现，容器里一堆脚本 networkSync 、kdevtmpfsi 、watchdogs

目前处理方法是重新构建了镜像（怀疑是很久之前某次构建镜像源有问题？因为容器创建都 1 年多了，中途都是拷贝代码到容器重启）

这种人有办法搞他么？脚本备份了，有他 c3pool 的 user 信息，暂时先不放出来，怕被看到，因为不确定毒是否清干净了，咱也不是专业运维

有两个问题希望有遇到过的老哥能解惑下 1 、tmp 目录没映射为啥宿主机也有对应的文件，是 docker 内部能越权还是 docker 内所有文件宿主机都能直接查到？ 2 、相同代码、依赖镜像还有其他容器，但是只有这个出了问题，除了镜像源投毒，java 依赖包有可能干这事么

这个病毒挺能潜伏的，有日志文件，发现两个月前就在了，只是 cpu 占用不高没被发现

提醒下各位同志们检查下自己服务器 tmp 或者容器 tmp ，有没有可疑文件（ xm 、networkSync 、kdevtmpfsi 、watchdogs 之类的），这货账号下有 100 多个矿机。。。估计都是肉鸡

[guiling]

@yinmin Java 项目，跟 go 没关系，抱歉标题有歧义哈哈

[guiling]

@Jhma 有的，安全组只开了要用的端口

[guanzhangzhang]

docker 的容器的 rootfs 是一层 overlay2 的 diff 层，也就是容器产生的文件可以在/var/lib/docker/overlay2/xxx/merged/ 或者 xxx/diff/下看到，因为病毒是容器内下载的，你 touch 一个文件一样的可以看到

[assassing]

@yinmin #4 通用方法是将服务器外网网卡解梆。如果需要调用外网服务 API ，统一走代理服务器，防护好代理服务器即可。

[bestcondition]

@guiling 那你应该改成，Java 日的挖矿病毒

[azraeljack]

这标题写的。。。还以为什么 go 依赖被投毒了

[guiling]

@guanzhangzhang 是的，病毒文件就在 merged/tmp,就是不知道哪个进程或者程序把文件拉下来的

[guiling]

@azraeljack
@assassing 我的锅，发的时候没考虑到会碰瓷到 go ，只是不想骂得那么直白

[Achophiark]

告诉你我是怎么解决的，我把主机 cpu 后来只给 4 核心，就好了， 挖矿程序检测到没有可挖掘的 cpu 价值就不启动了。然后记得在主机启动个 server status 监控程序。

[supersu]

🌿，我今天也遇到了，病毒的进程名伪装成了 perfctl,也是在 docker 的 tmp 下面，宿主机的 overlay 下面也有，原因是启动了暴露在公网的 selenium 容器，我用的 cloudcone 的便宜 vps,不支持安全组，本机开了 ufw 防火墙，后来查了一下说是 ufw 防火墙和 docker 有冲突不生效，但是我奇怪的是我用 netcat 命令测试我的允许访问的 80 ，443 端口时可以通，我访问 selenium 里面 java 启动的默认的 4444 端口的时候，返回了 no host to route ，也就是不通被防火墙拦截了，好奇是怎么黑进来的~

[guanzhangzhang]

@guiling #27 这个一般都是容器内下载的，这样实际位置就是 overlay2/xxxx/merged/tmp

[guiling]

@supersu 推测最初应该是某个带毒的依赖带进来的脚本，然后他会下载 sshd 程序，还有个 ssh 脚本的定时任务估计是做保活的，至于端口应该是占用容器映射的端口作为他 ssh 的端口，然后基本就完全控制容器了

[sampeng]

其实我很好奇。。。是怎么带进来的。一般机器都是不开外网只有一个 80443 在外面还是负载均衡。当然，代码有 bug 那 Go 日的是研发了。。

[jianyang]

还以为是 GO ， 原来是 Go
前段时间我有台机器 也是被挂了 xmr ，我怎么都想不明白真没被挂的、机器很干净、就安装了 1panel nginx 搭建了个网站
并且也没找到木马、后门，就一个 xmr 的挖矿程序和一些配置文件、文件夹名都没改
网站是应该安全的、就只是期间有让机房运维登录了几次处理了几次问题、 也不太可能是 root pass 爆破
怀疑过机房运维、可是没证据、又感觉机房运维不至于做这种事吧

另外清理了挖矿程序、改了 root pass ， 后面也没再出现了

[crc8]

好一个 Go 日的挖矿病毒。牛！