OneInStack 疑似供应链投毒 Nginx

[gaobh]

该工具在安装过程中，从恶意的镜像节点下载了被恶意篡改的 nginx 源码包。之后 nginx 被编译安装和运行，导致服务器被植入后门。

根据后门样本硬编码字符串特征，确认本次入侵攻击者使用的后门家族为 Noodle RAT 。根据趋势科技发布的安全报告，使用该恶意软件的攻击组织主要活动在亚太地区，以间谍活动或经济利益为目的开展入侵活动。
报告： https://m.sohu.com/a/782760876_121304381/?pvid=000115_3w_a
https://mp.weixin.qq.com/s/c5O6EtpWWj1N8whVdiek8Q

[loveqianool]

运维也使用一键脚本安装 Nginx 呀？

[hGaHLRyC]

OneInStack 供应链投毒好几次了吧？而且 OneInStack 和 lnmp 去年不是被收购了吗？供应链投毒去年就玩过一次了，OneInStack 的开发者好像还入职了那个收购的公司。收购的公司还有破解软件的下载网站业务，也是玩灰产的。

[totoro625]

感觉穿越了，依稀记得很早很早以前就投毒了

[0o0O0o0O0o]

看来会成为一年一顿的冷饭

[mingtdlb]

啊...这，多久之前的事了？现在比较少整 la/n/cmp 了吧，直接 docker compose 更方便。

[daimaosix]

@loveqianool 那不然怎么安装 Nginx 呀

[huage]

我也不敢用了，为什么收购呢？肯定是商业利益，那既然是免费的话，只能搞灰产黑产了，安装一台多一台肉鸡。

[rulagiti]

搞不懂那些用一键脚本编译 lnmp 的

[imlonghao]

@daimaosix apt install nginx

[miyuki]

@daimaosix apt install nginx

[lucasj]

make install

[hGaHLRyC]

@daimaosix 系统自带的包管理啊
sudo apt install nginx
sudo systemctl start nginx
sudo systemctl enable nginx
我记得 OneInStack 和 lnmp 非离线的安装脚本有公共的软件镜像源不用，偏要用的他们自己的下载源。。尽量少用一键脚本，如果需要脚本自动化也尽量自己写。

[Dk2014]

lnmp oneinstack 包括 51la 后面好像都是同一家黑产
有兴趣可以去搜搜

[lisxour]

@rulagiti 不是人人都愿意去折腾编译的

[BG7ZAG]

@lisxour 那就要宝塔，虽然不咋地，起码整个商业公司，不至于投毒

[lisxour]

@BG7ZAG 别宝塔，这玩意真恶心人，推荐 1panel

[BG7ZAG]

@lisxour 1panel 也不错，就是得主要更新版本，不过还是直接 docker 方便，面板我只用它的计划任务和证书续期了~

[lisxour]

@BG7ZAG #17 1panel 就是全 docker 化的，这我还是比较喜欢的，不会把所有东西都装到服务器上乱拉屎

[RangerWolf]

@lisxour 可以详细说说么~ 我没有用过，不过到处都能听到宝塔的广告跟讨论

[pharsalia]

看成 openstack ，吓我一跳

[nevergotit]

docker 被封了，你们使用 1panel 能直接安装应用么？

[tyzrj766]

@nevergotit 1panel 有自己的官方反代网址，填一下就行了
https://bbs.fit2cloud.com/t/topic/5886

[dzdh]

debian 系用 sury 的 nginx

rhel 系 用 https://nginx.org/en/linux_packages.html

非必要不编译。

搞不懂那些编译的。

[nevergotit]

@tyzrj766 谢谢，感恩😁

[9ki]

历史是一个圆

[julyclyde]

@lisxour 这事跟编译有啥关系？

[BadFox]

有种时光倒流的感觉。

[harryWebb]

唉，5 年前用这个东西还是主力，没想到现在都搞投毒了。。
虽然公司已经倒闭了

[swLoXtOtd89pGg8t]

@lisxour #14 直接 yum 或者 apt 装呗，干嘛编译

[xcsoft]

@pharsalia 我也看成 openstack 了，笑死我了