[严重怀疑路由器系统被入侵了] 有个可疑进程把我 CPU 占满了，并建立了一个远程 TCP 连接

[fancy2020]

系统是 OpenWrt 22 ，最近网络不太稳定，上去看了下 top,发现有个进程占满了全部 CPU ，kill 之后会立即自动启动。

htop 截图如下：




然后我用 lsof 看了下这个进程都访问了哪些文件：



这就更加可疑了，它的执行文件被删除了: /root/kworker\\6:4-events (deleted)，然后还开了一个连接到这个 IP：TCP xxxx:57702->141.94.96.71:443 (ESTABLISHED)

查了一下这个 IP 来自于法国：

[feeloho]

[RedBeanIce]

[BIND]

蚊子腿也是肉

[NetCobra]

为什么不把 SSH 限制为只允许内网连接呢？

[TsukiMori]

蹲 我 OpenWrt 直接禁止 wan 的入站和转发 只针对 nas 的几个 web 服务 p2p 和 zerotier 的监听端口单独开放 不知道有没有风险