2. NodeSeek
  3. 【慢讯】建议巡查一下绿云的机器

【慢讯】建议巡查一下绿云的机器

cookielb 2026-10-28 21:03 1

先说结论：商家前几天维护过了母鸡，小鸡还是需要自己处理的


前几天绿云好多节点维护，今天用AI查了一下自己的机器，发现中招。

已经发过工单给商家了，回复是已做过检查并采取了保护措施（应该指的是前几天的维护）


莫名的多了这个未经授权的 Python SOCKS5 代理程序：


Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name

tcp        0      0 0.0.0.0:43693           0.0.0.0:*               LISTEN      755/[kworker/0:2H]

受影响机器：Green JP IIJ 和另一台JP softbank


入侵通道：恶意指令由虚拟机内 /usr/sbin/qemu-ga（qemu-guest-agent.service）的 guest-exec 接口以 UID 0（root）直接下发，且在 2026-10-24 至 2026-10-25 事发期间没有任何 SSH 登录记录（SSH 已禁用密码登录，公钥文件自 2026-06-02 起未发生任何修改）。


精确事发时间（供商家比对宿主机及控制面板日志）：


环境探测：2026-10-25 09:06:51.050481 UTC（北京时间 17:06:51），通过 guest-exec 探测 python3/python/bash/systemctl。


植入代理：2026-10-25 09:06:54.575094 UTC（北京时间 17:06:54），通过 guest-exec 创建隐藏目录、写入 Python SOCKS5 代理源码、注册 systemd 自启服务并添加 iptables 放行规则。


恶意组件特征（IOC）：


伪装形式：Python 进程伪装为内核线程名 kworker/1:7H（另一节点/前序排查亦发现伪装成 [kworker/0:2H] 监听 43693 端口），本次监听 0.0.0.0:43811/TCP，排查期间捕获到外部 IP 85.121.149.232 连入使用该代理。


恶意文件路径：/var/cache/.hwdb-aa7iei/dbus-cache.dat（SHA-256: bcc190c2819c04bbb1663d1c89b8794ac150c89987434defa84c5d2d3690790a）。


持久化服务：/usr/lib/systemd/system/systemd-locale-gen.service（描述伪装为 System cache sync daemon，SHA-256: 102848aeba5c20cac8dc5fd9698d898e527ab75f2f3b7ffcc5dc4de1a1da6ba5）。


祝大家周年庆都能抢到心仪的好鸡

官网地址aff：https://greencloudvps.com/billing/aff.php?aff=8043

最新回复 (24)
  • CIRE 10-28 21:04
    1楼

    我的vmiss也是这样 但是我是有登录记录的 前一秒没见过的ip登录了 下一秒后面就搞上了 还弄了scoks5

  • kk 10-28 21:06
    2楼

    意思是绿云这母鸡已经被拿下了？

  • cookielb 楼主 10-28 21:07
    3楼

    @kk #2 修好了，但你的小鸡要是被入侵了需要自己去处理

  • nullptr-t 10-28 21:11
    4楼

    感觉以后得把qemu-agent扬了

  • cookielb 楼主 10-28 21:17
    5楼

    @nullptr-t #4 发布于2026/10/28 21:11:48

    感觉以后得把qemu-agent扬了


    systemctl disable --now qemu-guest-agent.service && systemctl mask qemu-guest-agent.service
    
chmod 000 /usr/sbin/qemu-ga && chattr +i /usr/sbin/qemu-ga
  • kk 10-28 21:19
    6楼

    试了下似乎暂时没发现/var/cache/路径下有隐藏文件，dd过系统以后不知道qemu的东西还会不会装上

  • Catacomb7500 10-28 21:24
    7楼

    还真被入侵了

  • hahaaa 10-28 21:44
    8楼

    我擦，真有

  • RSKJSN 10-28 21:53
    9楼

    ^-^ 我去看看

  • bigbutt 10-28 21:57
    10楼

    牛逼真有

  • NOMI 10-28 22:03
    11楼

    感谢整理时间线和 IOC。发现可疑进程时建议先隔离网络、保留日志和镜像，再联系商家核实宿主机侧记录；如果确认曾有 root 级入侵，清除单个进程不等于恢复可信，重建并轮换相关凭据更稳妥。

  • cookielb 楼主 10-28 22:08
    12楼

    @NOMI #11 发布于2026/10/28 22:03:48

    感谢整理时间线和 IOC。发现可疑进程时建议先隔离网络、保留日志和镜像，再联系商家核实宿主机侧记录；如果确认曾有 root 级入侵，清除单个进程不等于恢复可信，重建并轮换相关凭据更稳妥。


    @admin 抓到AI回帖，一分钟内评论了多少个帖子

  • aRNoLD 10-28 22:12
    13楼

    /var/cache/.hwdb-aa7iei/dbus-cache.dat


    值得关注。


    是不是查路径上有无上述文件就行了？

  • cookielb 楼主 10-28 22:14
    14楼

    @aRNoLD #13 发布于2026/10/28 22:12:11

    /var/cache/.hwdb-aa7iei/dbus-cache.dat


    值得关注。


    是不是查路径上有无上述文件就行了？


    apt install net-tools
    
netstat -tlnp

    看看有没有这种不认识的开放端口


    Active Internet connections (only servers)
    
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
    
tcp        0      0 0.0.0.0:43693           0.0.0.0:*               LISTEN      755/[kworker/0:2H]
  • aRNoLD 10-28 22:15
    15楼

    @cookielb #14 发布于10/28/2026, 10:14:19 PM


    @aRNoLD #13 发布于2026/10/28 22:12:11

    /var/cache/.hwdb-aa7iei/dbus-cache.dat


    值得关注。


    是不是查路径上有无上述文件就行了？


    apt install net-tools
    
netstat -tlnp

    看看有没有这种不认识的开放端口


    Active Internet connections (only servers)
    
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
    
tcp        0      0 0.0.0.0:43693           0.0.0.0:*               LISTEN      755/[kworker/0:2H]

    原来是查端口

  • nullptr-t 10-28 22:18
    16楼

    @cookielb #5

    那样会影响关机和备份的完整性（fsfreeze），我让ai写了个只允许不敏感全新的配置脚本


    sudo bash <<'SH'
    
set -euo pipefail
    

    
CONF=/etc/qemu/qemu-ga.conf
    
SERVICE=qemu-guest-agent.service
    

    
command -v qemu-ga >/dev/null || {
    
    echo "ERROR: qemu-ga not installed"
    
    exit 1
    
}
    

    
[[ "$(qemu-ga --help 2>&1)" == *"--allow-rpcs"* ]] || {
    
    echo "ERROR: This QGA version does not support allow-rpcs"
    
    exit 1
    
}
    

    
mkdir -p /etc/qemu
    

    
BACKUP=""
    
if [ -f "$CONF" ]; then
    
    BACKUP="${CONF}.bak.$(date +%Y%m%d-%H%M%S)"
    
    cp -a "$CONF" "$BACKUP"
    
fi
    

    
cat > "$CONF" <<'EOF'
    
[general]
    
allow-rpcs=guest-sync-delimited,guest-sync,guest-ping,guest-info,guest-get-osinfo,guest-get-host-name,guest-network-get-interfaces,guest-get-time,guest-shutdown,guest-fsfreeze-status,guest-fsfreeze-freeze,guest-fsfreeze-freeze-list,guest-fsfreeze-thaw,guest-get-fsinfo,guest-get-disks,guest-get-vcpus,guest-get-timezone,guest-get-memory-block-info,guest-get-memory-blocks,guest-get-diskstats,guest-get-cpustats,guest-get-load,guest-network-get-route,guest-fstrim
    
EOF
    

    
chmod 644 "$CONF"
    

    
if ! qemu-ga --dump-conf >/dev/null ||
    
   ! systemctl restart "$SERVICE" ||
    
   ! systemctl is-active --quiet "$SERVICE"; then
    
    echo "ERROR: Configuration failed, rolling back"
    
    if [ -n "$BACKUP" ]; then
    
        cp -a "$BACKUP" "$CONF"
    
    else
    
        rm -f "$CONF"
    
    fi
    
    systemctl restart "$SERVICE" || true
    
    exit 1
    
fi
    

    
echo "SUCCESS: QGA whitelist configured"
    
echo "Allowed RPCs: $(grep '^allow-rpcs=' "$CONF" | tr ',' '\n' | wc -l)"
    
echo "Backup: ${BACKUP:-none (new configuration)}"
    
qemu-ga --dump-conf | grep '^allow-rpcs='
    
SH
  • 我是校长啊 10-28 22:19
    17楼

    我让大肥鱼审查了一下，正常

  • chickenmymy 10-28 22:21
    18楼

    现在感觉有点防不胜防啊，各种系统级和应用软件级的漏洞，层出不穷，不可能时时刻刻都被打补丁。

  • txf861 10-28 22:29
    19楼

    牛逼

  • DevNull 10-29 09:04
    20楼

    想知道在哪里看到自己中病毒

  • 塔塔开 10-29 09:10
    21楼

    haoxiang 还好


    root@localhost:~# cd /var/cache

    root@localhost:/var/cache# ls

    adduser apparmor apt debconf dictionaries-common ldconfig private

  • cookielb 楼主 10-29 10:35
    22楼

    @塔塔开 #21 这条命令看不到隐藏文件夹

  • yescallop 10-29 12:27
    23楼

    看了一下gen2也有 ^-^

  • yescallop 10-29 15:47
    24楼

    发工单收到了类似的回复，然后也把qemu-ga加固了，真吓人 ^-^

* 帖子来源NodeSeek
附近帖子
返回
飞读
随机推荐