发个帖求助下，阿里云服务器被勒索

[hyperdak]

昨天发现服务器连接不上 今天去阿里云看了下，发现居然被停止了，手动启动了一下，登陆服务器就发现了Hi, please view: http://pastie.org/pastes/10800563/text?key=hzzm4hk4ihwx1jfxzfizzq for further information in regards to your files!这个东西

http://pastie.org/pastes/10800563/text?key=hzzm4hk4ihwx1jfxzfizzq

这个东西勒索 3BTC

另外阿里云的策略简直可怕，以前开了自动快照的，发现被黑的时候我还觉得无所谓，反正有快照，结果一去看快照，数量居然是 0.

提了个工单，告诉我，新快照系统还的再次设置，以前设置好的快照策略居然就直接下线了。

问题确认是 redis 出现的

redis 默认配置会 bind 0.0.0.0 而且没密码设置

相关的问题见这个博客：
http://my.oschina.net/lenglingx/blog/532185

我原本安装 redis 的时候也知道 redis 的 bind 设置，但是因为没有正式使用 redis ，所以也没有修改以及加密，这个 redis 每次就是测试用（就算数据被删除了也无所谓）。结果想不到 redis 还有这种的漏洞。

又 google 了一下，这个漏洞最早已经是 2015-11 的时候爆出来了。
提示一下大家注意

[just4test]

数据不重要就重装吧

[kozora]

1.养成备份的习惯
2.时常关注服务商的动态
3.做好服务器防护

[ifconfig]

有没有被清空操作记录或者什么日志之类的，看看是怎么黑的，关注中……

[hyperdak]

备注这个的话，以前是开了快照的，谁知道他居然会上线新快照以后，然后阿里云居然还把它给下线了。
history 查看 命令都没有被改动过，命令还是我自己之前用过的

[azh7138m]

快照策略更改发过邮件通知了(・・;)
同好奇怎么被黑的

[49]

楼主准备好了一千万了吗？

[peter999]

阿里云新快照上线时短信发过通知，里面告知了旧快照下线，新快照需要手动设置

[benbenzhangqi]

还是自己手动连接比较靠谱 一个星期备份一次 习惯就好

[Bardon]

所以，你 shell 也登陆不了了？ db 被加密吗？还是个什么情况？

[arfaWong]

评论阿里要先去银行取 1000w 现金 : )

[tangzhehao]

好奇怎么黑的？
看完我就赶紧去设置快照策略去了。

[dommyet]

这玩意居然蔓延到 VPS 上了啊 上一次听说这个还只是某品牌 NAS 有 0day 然后被批量扫描利用了 在后台隐蔽加密全盘后勒索用户 收到款项后还会自动解密

[dongyado]

快照没了，不支付 btc 基本是拿不回来了，倒不如仔细研究一下怎么被黑的

[zealic]

没有一千万不敢说话；

楼主记住：不要用云里阿。

[hyperdak]

@Bardon shell 能登陆
数据库文件都被拿走了，现在剩下的是一个 test 数据库和 mysql 数据库，然后其他都没有了

[AntonChen]

最近发帖评论阿里的都是土豪，一帖一千万

[hyperdak]

@peter999
@azh7138m
那应该是我的锅了，账号的手机之前绑到另外一个同事的手机上。。

[Bardon]

@hyperdak 那没用了，就算支付 3btc ，也不保险
db 还是不要跟业务 vps 在一起啊，如果小型 vps ，备份一定要的。

[dapang1221]

去找阿里客服喷一波，要是万一阿里云自己有自己的容灾备份呢……

[murmur]

阿里云不是每周都有自动镜像吗 回滚一个就好了

[qq5745965425]

评论阿里要先去银行取 1000w 现金 : )

[qq5745965425]

楼主准备好一千万了吗

[chousb]

没有一千万不敢说话

[ixinshang]

持续关注

[Cu635]

。。。用阿里云，给自己找一个流氓混混作爹，这不就是活该么……

[songjiaxin2008]

没有一千万并不敢大声说话

[russj]

一千万是怎么回事？

[Coxxs]

（ 5 分）假设该帖层主花费 3 BTC 找回了数据，并向阿里云道歉，请问最终需花费多少钱？

[yangzj1992]

没有一千万..不敢评论啊..

[irainsoft]

没有 1000 万你也敢说阿里的不是
就是用户的锅 (滑稽

[lidonghao]

楼主准备好一千万了吗

[moejiajia]

入侵者怎么不顺便勒索个 1000 万 （眼斜

[Shura]

楼主啊，阿里明明发过通知邮件的，快去找高利贷借一千万吧

[Shura]

@Coxxs 一千万加三比特币

[hpeng]

去试下问阿里云客服，万一有容灾。

[icybee]

我也发现了，快照策略下线了。。。阿里一个通知都没有。。。

[gzelvis]

没有一千万，以后不敢说阿里的东西了

[acrisliu]

吓我一跳，看到标题我还以为楼主说自己的阿里云服务器被阿里勒索了 （大雾

[BOOM]

@arfaWong 1 千万什么梗？

[eirk2004]

@dongyado 99%是骗子，付了钱也拿不到数据

[redtea]

没有 1000 万也敢抱怨阿里？

[Tink]

没 1000w 现在都不敢说话

[Slienc7]

@eirk2004 我见过的基本都能拿到；还没见到谁说给了钱没能拿到数据的； 99% 是哪里来的数据？

[feather12315]

楼主小心阿里高你诽谤，索赔一千万

[hyperdak]

@icybee 后来看了下，有通知的，只不过之前阿里云的账号绑到另外一个同事上面了，然后就被坑了

[hyperdak]

:) 最后想想好像只能老实交钱了，有之前见过这种案例的同学能说一下怎么付钱么

[huobazi]

一千万啊一千万哦，楼主平安！

[anoymoux]

别再拿 1000w 的梗来秀下限了，“造谣”和“黑” 是两码事

[pupboss]

我靠！！！阿里云的快照怎么没了，完全没通知啊

[wupher]

没 1000 万不敢评论啊。

话说对方也没说你交了 3BTC ，就把文件还给你。要不 3BTC 倒不贵。（如果不是一个文件 3BTC ）

[pupboss]

你可以写个脚本，每天自动备份重要数据到七牛，我现在是这么个做法，还算安逸

[shoaly]

感谢楼主的悲剧, 我也发现快照失效了

[hyperdak]

@pupboss 本来以前有个办公室的自动备份，后来发现快照系统挺好用，就用上了，办公室的自动备份就停止了。之前还用快照恢复过一次数据，感觉稳定，结果这次。。

[loweila]

意思说有了 1000 万就可以造谣了？

[saturnast]

楼上这逻辑理解能力...

[lansexinyu]

没看到 1000W 是什么鬼！

[babytomas]

@pupboss

备份到七牛？用的 API 吗？

是 Python 写的？

[badcode]

备份的重要性

[frankwei]

没有一千万的我并不敢大声说话

[ifconfig]

阿里员工出来走两步？

[Marser]

一千万准备好了么？亲

[yeqiu]

这种事，阿里云没有责任么？服务器提供商难道没有责任保护服务器不受攻击么？

疑问句，不是反问句！

[laukwanchan]

楼上回复的朋友们你们准备好 1000W 了没？反正我没有，我也不说云里阿。

仅仅安慰楼主：以后要养成定期备份的习惯，以及要随时监控服务器状态的反馈。

[XuanYuan]

1 、准备好比特币，参见我的经历：/t/146340
2 、准备好 1000 万……

[jiziya]

之前我的也被黑了，后来恢复过几次快照，然而并没有什么卵用，然后。。。就重装系统了。

分析被盗的原因，可能有几点：
1. 一直是 root 密码登录；
2. 下载过乱七八糟自己也不知道到底什么用的脚本，本来是想尝试自签 let 证书的，唉。

[pupboss]

@hyperdak
@babytomas
七牛官方提供一个可执行的二进制文件，然后我是用 bash 打包，再调用这个二进制文件实现备份和过期文件删除

[wh0syourda66y]

没有一千万憋说话

[aliyun123]

楼主您好，服务器问题如电话沟通，建议您先检查服务器的应用是否存在安全漏洞，如有漏洞问题请尽快及时修复，以免造成不必要的损失！阿里云的安全产品可以将安全问题防患于未然，针对您出现的这个问题，可以使用服务器安全托管服务，请参考 https://www.aliyun.com/product/mss/；关于快照的问题我们在 3.15 号上线了 ECS 快照 2.0 服务，旧的快照策略下线前我们已经邮件和短信通知您，需要您到 ECS 控制台设置快照 2.0 的自动快照策略，快照 2.0 服务的自动快照才能自动执行，具体可以参考： https://help.aliyun.com/noticelist/articleid/13075669.html?spm=5176.789004749.n2.7.gUDuIe

[hicdn]

楼主准备好一千万了吗

[hyperdak]

@XuanYuan 这边准备购买 BTC 了，请问一下，这种情况，我支付了 btc 之后，那边黑客会如何和我联系？

我查看了一下他的 address ，今天已经收到了一笔 3BTC 了，他如何确认是哪个服务器的所有人支付的？

给那边提供的邮箱发了 email ，也不见回复我。

[evitceted]

目测楼主有钱

[ThreeBody]

@aliyun123 这个客服在说废话？说了跟没说一样

[pimin]

3BTC VS 1000w ¥
问：谁是强盗？

[hyperdak]

@ThreeBody 这个客服倒不是说废话，和我电话联系过了，然后帮我排查了一些问题，但是数据那边的删除就没痕迹了。也是他们帮我确认的是 redis 的漏洞问题。

= =我这现在正在焦头烂额准备买 BTC ，但是又担心数据的恢复问题。

[ThreeBody]

@hyperdak 他在电话可能给你解决，但是我第一次看这个帖子，这个回复只是安全提醒类型，事前说的才有用

[congeec]

@ifconfig
@azh7138m
@tangzhehao
以前有 zmap 的时候就可行了，现在有更先进的 masscan
直接扫描开 redis 机器，扫到了尝试一下呗

[xifangczy]

才 3BTC 而已。。。要不然你就给 1000w

[Felldeadbird]

那么问题来了，我记得阿里云 不是有云盾么。怎么这个洞没发现出来？
遥想上次公司搬服务器，里面有一个 ecshop 的程序（不会运行的）。阿里云马上发短信来说“亲，您的服务器有一个 ecshop 的安全漏洞”。。。

[tSQghkfhTtQt9mtd]

@russj
@BOOM
@lansexinyu
1000w /t/271849

[cpp255]

1000W 今天占了 2 个热议了。

[XuanYuan]

@hyperdak 我得回忆一下……

[genesislive]

以上所有提到 1000w 的麻烦准备好 1000w

[incompatible]

楼主，抛开阿里云和 redis 的漏洞不说，你最需要吸取的一个教训就是“不要用 root 账户登录、不要用 root 账户启动应用”。
我曾经也中了 redis 这个 bug 的枪，万幸入侵者猜不到我的 ssh 用户名，所以它最终也没有登录进我的操作系统。

[hljjhb]

楼主真的是有钱，阿里云肯定是完美的 →_→

[misaka00251]

@Coxxs 叉大！

[konakona]

http://blog.crazyphper.com/?p=3799
关于 REDIS 默认无密码这个问题，严重性还是蛮高的。

[lslqtz]

我用的 memcached 阿里云云盾有提示我不小心开放了。然后监听到 127 去了 QwQ

[tinyproxy]

楼上那么多黑阿里的也够了吧，这个明显自己作死，命苦怨政府咯，当教训积累经验吧。

[lslqtz]

@moejiajia hhhh

[chinajik]

这货估计整个内网的 redis 都扫了一遍， 我跟你一起中枪了...
幸好开发机，格式化掉了，我还以为是 elastic 的 groovy 的提权漏洞...
这下懂了

[xhat]

谢楼主提醒。吓的我赶紧把快照策略加上了。

[laiyingdong]

勒索病毒 的服务器版 Windows PC 甚至 OS X 都有 服务器也有不奇怪吧。

[jadecoder]

@Felldeadbird 你这是在说阿里云扫描你硬盘数据啊
你摊上事儿了

[chinajik]

@jadecoder 哈哈， 1000W!

[jwangkun]

好嚣张啊

[lty494685444]

没有一千万还敢用阿里云

[techmoe]

有什么重要数据吗。。

[wxlg1117]

我也是测试环境中招了,一开始还给装了个挖比特币工具...还发现这个勒索信了:
http://pastie.org/pastes/10798252/reply?key=hghqjtqxumoszqwgqon6jg

[realpg]

redis dump 恢复覆盖了 ssh 密钥吧……

话说，基本上发生这个问题的都是 centos ， ubuntu server 表示鸭梨不大……

[realpg]

卧槽没打完就发出去了
生产服务器，还是找个专业运维吧，怎么说这种基础的常见漏洞天天摆弄服务器的人都知道。
本质上这都不是漏洞