是哪吒惹的祸么? 还是在我的锐驰上

charliechang 2026-06-24 23:41 1

看到锐驰的内存始终居高不下,用codex分析了下进程,发现异常:


当前情况:
机器只有 961MiB 内存,现在 used 780MiB,swap 已用 1.1GiB。
有 128 个伪装成 kworker 的进程在跑,路径是 /dev/shm/.k…worker_u8,名字里混了不可见字符。
这些进程合计 RSS 约 305MiB,对 1G 内存机器影响很大。
持久化入口包括:/etc/crontab 里有:*/1 * * * * root /.mod
root crontab 里还有两条每分钟保活 /dev/shm/.k…worker_u8 的任务
/.mod 实际执行 /usr/lib/libgdi.so.0.8.1

/usr/lib/libgdi.so.0.8.1 是一个静态链接的 Go ELF 可执行文件,不像正常系统库。
/dev/shm 里两个可执行文件 hash 相同,大小约 1.9MB,明显是投放出来的运行体。
结论:这是疑似恶意程序/挖矿或代理类植入导致的内存异常。它每分钟通过 cron 保活,单纯 kill 进程会复活。
我还没执行清理操作。建议下一步是备份样本、删除 cron 持久化项、kill /dev/shm 可疑进程、移除 /.mod 和 /usr/lib/libgdi.so.0.8.1,然后复查是否还有新增任务或异常登录。

mmp 现在重装系统!!

最新回复 (4)
  • jianggaoyi 06-24 23:46
    1楼

    重装系统保安全

  • 5080 06-24 23:48
    2楼

    哪吒漏洞啊 你被扫到了

  • leic-山水 06-24 23:49
    3楼

    哪吒,一年爆了两次重大漏洞,期间一次小漏洞

  • charliechang 楼主 06-25 07:06
    4楼

    建议大家都及时看下自己装过哪吒的机器。mmp

* 帖子来源NodeSeek
返回