最近盒子QB频繁崩溃，排查出了挖矿木马，大家小心啊

praiseindark · 2024-09-24T06:43:43+00:00

上周QB就经常崩溃，以为是盒子性能太拉，后来无意查看了进程，发现kswapd0进程占用了几乎100%的CPU，而内存swap占用不大，并且该进程pid过大，这时已经很可疑了。再netstat看一看这个进程的IP指向。在ipaddress上查了一下，ip指向瑞士。通过该IP再查了一下连接，只有这一个进程连接...

praiseindark

invitespt 之前也没出过问题，我怀疑是最近刷流下了带木马的种子

invitespt

大家小心了，尽量只下载影视资源好了。

praiseindark

这种木马除了占用资源还能更改root密码，所以有的时候大家要是登录VPS发现密码不对，可能也是木马搞出来的事情

laoliusf

之前公司服务器通过webshell被挂马，后来阿里云服务器被植入矿机，真是防不胜防，哈哈哈

praiseindark

laoliusf 确实，这种东西太难防了，而且盒子也不会天天上，偶尔看一下上传真看不出来

ClarkChen

我也有这个进程,就是不占CPU. 也是木马吗?

praiseindark

ClarkChen 你这个占用很低应该不是，本来系统就有kswapd0，是管理内存交换的，但是有些木马会伪装成这种进程名😂

ClarkChen

praiseindark 那我tr占了60%CPU, 木马会不会在tr底下操作?群晖里只能看到tr这一级了

praiseindark

ClarkChen 这个就要具体分析了，一般tr占用资源也挺多的，你可以ssh进去看看这个线程涉及的启动脚本有没有问题，我这个情况是最近一周突然QB占用异常，而且木马伪装的系统进程是管理内存的，所以能比较明显分辨出来

praiseindark

ClarkChen 还有个很明显有改动的就是cron列表，一般马会带上按时启动，所以你也可以看看有没有多了什么陌生的定时任务

MrQuin

要怎么通过 ip 查进程链接呢

praiseindark

MrQuin 也用netstat就行，netstat -an(๐•ᴗ•๐)p | grep +IP即可

苏打饼干掰两半

果然坏人无处不在啊

飘云

盒子。重装吧。密码设置复杂点。端口随机生成。