阿里云 Ubuntu 服务器还是中了挖矿病毒了

dream4ever · 2024-7-10 09:04:09 · 194 次点击
今天早上起床看手机,发现阿里云发来一条短信,通知说装了 Ubuntu 的服务器上有包含恶意代码的文件。

上班之后登录阿里云控制台看了一下,发现存在这么一个文件:`/usr/lib/ubuntu-advantage/apt_news.py`,阿里云的 AI 告警分析功能还解释这个挖矿脚本的所实现的功能。

现在比较好奇的就是这个脚本是怎么被植入服务器的,服务器上运行了 Nginx ,Docker 里跑着 Strapi 和 MySQL 。

安全策略方面,UFW 只开放了业务需要的几个端口,包括常见的 80 、443 、22 ,还有一个网站所需的 8001 ,以及 STMP 服务要用的 587 端口,另外还配置了 fail2ban 。

而且,这台服务器默认禁止了外网 IP 访问,只允许内网的另一台服务器通过上面这些端口访问。

这样的话,感觉 Web 应用层面出了漏洞的可能性比较大?

现在已经配置了 UFW 和 fail2ban 了,还出现了这种情况,有什么别的方法可以检查哪里还有什么漏洞么。
举报· 194 次点击
登录 注册 站外分享
13 条回复  
AssassinLOVE 小成 2024-7-17 09:26:44
emmmmm

dpkg -l | grep ubuntu-pro | awk '{print $2}' | xargs apt-get remove --purge -y

逃~
feelinglucky 小成 2024-7-11 12:59:31
这是 Ubuntu 自己夹带私货,有一说一建议还是用 Debian
kenilalexandra 小成 2024-7-10 17:21:48
把有毒的二进制文件发现呢?
lucky85984 小成 2024-7-10 17:12:44
受影响的 OpenSSH 版本
低于 4.4p1 的 OpenSSH 版本容易受到此信号处理程序竞争条件的影响,除非它们针对 CVE-2006-5051 和 CVE-2008-4109 进行了修补。
由于 CVE-2006-5051 的变换补丁,从 4.4p1 到(但不包括) 8.5p1 的版本不再存在此漏洞,该补丁使之前不安全的功能变得安全。
由于意外删除了功能中的关键组件,该漏洞在 8.5p1 至 9.8p1 (但不包括)版本中再次出现。
grady8866 小成 2024-7-10 15:45:11
这不是病毒吧,我几个 Ubuntu20.04 设备也都有,内容:

```python
#!/usr/bin/python3

from datetime import datetime, timedelta, timezone

from uaclient import apt, log
from uaclient.apt_news import update_apt_news
from uaclient.config import UAConfig


def main(cfg: UAConfig):
    if not cfg.apt_news:
        return

    last_update = apt.get_apt_cache_datetime()
    one_day_ago = datetime.now(timezone.utc) - timedelta(days=1)
    if last_update is not None and last_update > one_day_ago:
        return

    update_apt_news(cfg)


if __name__ == "__main__":
    log.setup_journald_logging()
    cfg = UAConfig()
    main(cfg)
```
liaohongxing 小成 2024-7-10 10:34:06
openssh serfer 最近爆出 CVE-2024-6387 OpenSSH Serfer 漏洞, 也不是绝对安全,定期上去 apt update  ,apt upgrade ,更新一下
flyrr 小成 2024-7-10 10:05:23
@dream4efer 前段时间我也遇到了,我的大概率是 Flink web 面板被提交东西执行了,给我设置了个定时任务,15 分钟下载一次挖矿代码执行。
BadFox 小成 2024-7-10 09:43:45
比对一下 hash ,可能是误报。
yellowbean 小成 2024-7-10 09:40:13
应该是勒索或者肉鸡 阿里云那点性能挖不出啥矿
zhangshine 小成 2024-7-10 09:25:59
误报吧
12下一页
返回顶部