Go 日的挖矿病毒，好好的周末被毁了

白天在外面浪的好好的，收到客户反馈服务崩了，服务器上去一看两个“xm”进程 cpu300%。。。另一个同事卡的 ssh 都连不上

查到最后发现是 docker 里起的服务，病毒文件在容器 tmp 目录里，宿主机/var/lib/docker/oferlay2/容器 id/merged/tmp 也有

病毒是个挖矿程序，跟这个帖子一样 https://www.fshex.com/t/969255 ，也是 c3pool 的账号

这个病毒挺能潜伏的，有日志文件，发现两个月前就在了，只是 cpu 占用不高没被发现，容器里一堆脚本 networkSync 、kdevtmpfsi 、watchdogs

目前处理方法是重新构建了镜像（怀疑是很久之前某次构建镜像源有问题？因为容器创建都 1 年多了，中途都是拷贝代码到容器重启）

这种人有办法搞他么？脚本备份了，有他 c3pool 的 user 信息，暂时先不放出来，怕被看到，因为不确定毒是否清干净了，咱也不是专业运维

有两个问题希望有遇到过的老哥能解惑下
1 、tmp 目录没映射为啥宿主机也有对应的文件，是 docker 内部能越权还是 docker 内所有文件宿主机都能直接查到？
2 、相同代码、依赖镜像还有其他容器，但是只有这个出了问题，除了镜像源投毒，java 依赖包有可能干这事么

这个病毒挺能潜伏的，有日志文件，发现两个月前就在了，只是 cpu 占用不高没被发现

提醒下各位同志们检查下自己服务器 tmp 或者容器 tmp ，有没有可疑文件（ xm 、networkSync 、kdevtmpfsi 、watchdogs 之类的），这货账号下有 100 多个矿机。。。估计都是肉鸡

成功被标题里的“Go”吸引到了

docker 又不是虚拟机，没有虚拟磁盘，文件当然会存在宿主机文件系统上了。
Java 依赖包也有可能投毒，况且 Java 还有 java-agent 这种东西，想干什么更方便。

“因为容器创建都 1 年多了，中途都是拷贝代码到容器重启”
---
最少两三个月更新下吧

推荐一种 docker 容器防止入侵的通用防御方式：把容器配置成不允许访问 internet ，能抵御 99%的漏洞入侵。这是因为：入侵需要下载木马程序到容器里，容器无法访问 internet 能阻止入侵实施。

创建不允许访问 internet 的内部网络模式 (加 --internal 参数)：
docker network create --drifer bridge --internal internal_network

创建容器时指定这个内部网络：
docker run --network internal_network ...

更强的方式是容器无网卡，容器间通信使用 unix socket 文件方式，更安全。

源 才是祸首 开源的真实目的

@yinmin 一点也不通用，只适合不需要访问外网的容器。

这和 Go 有啥关系？直接说“狗日的”会怎么样？

挖矿可能只是其中一步，可能还会扫描你的数据，尝试入侵内网服务器，找到更有价值的数据，然后锁你的数据，再然后如果你是大些的公司，可能会给你发勒索邮件，或者上勒索名单。

兄弟你要更新一下思路了。

1.系统有一千个漏洞，你浪费了无数个周末，修复了 999 个，但只要遗漏一个漏洞，病毒就会沿着这个漏洞攻入。

2.就算你修复了所有漏洞，只要是人，就会犯错，说不定哪天某组件又爆了漏洞，病毒同样也会进来。

所以，系统中毒，是一个常态，你平时就要想好，怎么去处理这个问题。包括不间断不删档的备份，包括晚上周末五一国庆节假日时病毒爆发等等。

做好心理准备，事先想好应对之策。