어제 DMS 접속했더니 중국에서 FTP로 무작위 로그인 시도하길래..
사드 문제로 중국 해커들이 우리나라 공격할 거라고 선전포고한 것도 있고해서 바로 모든 중국 아이피를 차단시켰습니다.
한시간 후 CPU가 99% 이상 사용되고 있어서 터미널 접속해서 확인했더니 아래 프로세스가 돌아가고 있더군요.
999 7145 25542 99 21:58 ? 02:10:36/tmp/yam -c x -M stratum+tcp://45FnXs....ckBa34hLEiD:*@****.minexmr.com:4444/xmr
kill 시켜도 안되어서 /etc/hosts 파일에 127.0.0.1 pool.minexmr.com 추가하고, 바로 리부팅했습니다.
일단 리부팅 후 다시 문제는 발생되지 않고 있습니다.
외부에서 나스의 각종 서비스 포트 접근을 모두 차단 시켜둔 상태입니다.
각종 시작 스크립트 뒤져보았는데.. 아직 자동 실행되도록해둔 코드는 발견하지 못했습니다.
프로세스 정보를 보니 감염된지 2시간 10분 정도 되었네요..
불안하니 재설치해야 겠네요..
감염된 DMS 정보: DSM 5.2-5967 Update 1
정작 비트코인 마이너가 접속하는 서버의 아이피는 프랑스네요..
몇 년전에 한 번 감염되고 나서 또 당했네요..ㅠ.ㅠ
모두 업데이트 잘 하시고, 위 도메인의 아이피는 미리 차단시켜두세요..
이제 dsm 6.0이 필수가 되었네요.
몇년전 시놀로지 정품에서도 비트코인 채굴기에 감염된 적이 있으니 정품여부와 관련없이 문제가 될거 같습니다.
시놀로지 보안 리포트 날라오던데....
기본포트 그대로 사용중입니다. 바꿔주세요.
터미널서비스사용중입니다. 서비스내려주세요.
인증서가.....
터미널 보다는 dsm의 버그 이용한게 아닐까 싶습니다. 몇년전 비트코인 마이너도 dsm의 cgi 버그 이용한 것이었죠
DS 411+ 정말 만족스럽게 쓰고 있다가, 어느날 보니 씨퓨 100% 치면서 비트코인 캐는 것을 보고 경악했었는데...
그것도 여러 놈이 서로 다른 프로세스를 죽이면서 경쟁을...
그때는 패치도 자주 안올라오던 시기였죠. 그 이후에 정말 패치 많이 올라옴
dsm 5.2에서 새로 발견된 버그라면 dsm 6.x도 안전하지는 않을거 같습니다.
저흰 원도 서버 3대가 깉은날...ㅋ
나중에는 프로세스를 숨기거나 DSM에서는 CPU 정상적인 것으로 보이게 하는 변종도 나옵니다.
터미널에서 top이나 ps 명령으로 확인해봐야 하더군요.
지금 cpu는 68%, 램은 78% 정도 올라가 있습니다.
다른 작업은 거의 없어요..ㅡ
네트워크 사용량도 극히 미비하구요...
포트: 모두, 소스 IP: 지역-중국, 작업: 거부
생성된 거 선택하고 저장 눌러주심 됩니다.
어느 순간에 갑자기 그럽니다 ㅠ.ㅠ
모든 서비스 중단 했다가 재시작 하면 사라 졌다가..
재부팅 하면 또 25% 올라 갑니다
각종 패키지나 도커 사용 중이라면 하니씩 종료하면서 어떤 것이 그 프로세스를 사용하는지 찾아보세요.