记录一次NAS被xmrig挖矿病毒入侵的经历

记录一次NAS被xmrig挖矿病毒入侵的经历如下：

事情起因：
- 使用手机BT下载管理软件时不够谨慎，可能引入了病毒。
CPU占用异常：
- 6月7日，在例行检查PVE后台时，发现OMV的CPU使用率满载，而qbittorrent后台无活跃任务，察觉到不寻常。
病毒发现：
- 登录OMV后台，发现名为xmrig的进程独占CPU，通过搜索确认其为挖矿病毒。
- 迅速执行kill命令终止病毒进程，但忘记截图留证。
深度排查与消毒：
- 通过top c命令找到病毒文件位置并删除。
- 检查~/.ssh/authorized_keys和~/.profile文件，发现陌生公钥和文件篡改，表明存在潜在的后门。
- 系统日志显示，qbittorrent从某个地址下载并执行了脚本，该脚本下载了挖矿软件并启动了进程。
病毒入侵途径：
- 怀疑病毒通过qbittorrent的漏洞或配置不当进入。
- 深入调查后发现，每次种子下载完成时，qbittorrent会自动执行一段代码，下载并运行挖矿脚本。
- 推测病毒可能是通过手机管理qbittorrent的远程管理工具进入的。
反思与总结：
- 选择开源软件不代表可以完全信任，需要更加谨慎。
- 避免让来历不明的软件管理核心设备，加强权限控制。
- 使用root用户时需格外谨慎，避免安全隐患。

热门标签