CHIPHELL:大家注意下自己的群晖NAS有没有被黑(卧槽黑客居然用群晖那些arm处理器挖矿……)

如果你有群晖的NAS, 不管是官方成品还是自己DIY的, 这两天看一下“资源监控” 或者SSH后PS命令, 如果:
A 资源监控中看到几个httpd的进程占用了几乎100%CPU,比如你的是ATOM双核就看到两个httpd进程, 加起来占用了接近100%
B SSH的话, 看到进程 httpd******startum***后面是一个陌生IP地址
C 我这里看到的不止httpd进程, dhcpd进程也是可能的怀疑点, 如果你看到dhcpd*****startum***也有很高占用的话
那么恭喜你可能被黑在帮人挖矿了
如果你用kill杀掉进程, 当时CPU 占用会下来, 但过一会又会上去, 因为还能黑进来

目前大家的症状观察, 看起来是有黑客扫描5000端口(也就是默认群晖管理端口), 然后利用漏洞把你的NAS变成挖矿机, 而所有没有把5000端口开放到外网的, 几乎都没有中招

应对:
1. 升级到DSM5.0, 不过这个可能引起的问题请各位自己考虑好, 5.0 XP那边刚出来不久, 稳定性未知
2. 改变你的NAS映射端口,不要使用外部端口5000, 比如你可以使用15000 端口映射到NAS的5000端口. 这需要在路由器上设置

我自己采用了#2, 今天会观察一夜, 看是否能有效

另外,我观察发现, 被黑后你的/etc/rc.local 可能会被改变, 打开SSH,

vi /etc/rc.local

如果你安装过ipkg 应该看到是这样:

214909x5e6811p5dtc3z51

但如果你被黑了在执行httpd, 你看到的会是
/var/run/httpd-log.pid …… stratum XX:XX:XX:XX (一个IP地址)

请务必删去这个rc.local, 重新安装ipkg bootstrap, 以免下次启动又悲剧

另外, 我也发现/var/run/httpd-log.pid 在今天被改动过, 但无法确认是否可以删除, 可否有好心人也用SSH查看下, 是否未被黑的群晖系统/var/run 也有这个文件? 我的文件大小是592464 , 我的群晖版本是DSM4.2-3211 X64

设置自动ban掉尝试连接 nas 的ip

没用的,根本不是从web页面登录,直接利用漏洞攻击,连系统日志都没记录。

群晖工程师的回复:

感謝您的來信。

在舊版DSM當中存在一個漏洞,會讓攻擊者能夠取得最高權限殖入惡意程式,我們已經在DSM 4.3-3810 Update 1之後的版本修復了這個問題:

http://www.synology.com.tw/zh-tw/releaseNote/model/DS412+

由於我們無法確認攻擊者在進入您的DS之後,是否還有留下其他的後門,為了保險起見請您在DSM功能表『備份和還原』頁面當中,將目前的DSM系統設定備份為.dss檔案匯出。

然後請您參考我們的這條FAQ來重新安裝DSM之後,再還原您所備份的系統設定檔即可恢復正常使用,這個動作不會對儲存空間當中的資料造成影響:
http://www.synology.com.tw/zh-tw/support/faq/348

在您重新安裝DSM完成之後,請您從DSM『控制台>>系統更新』頁面當中,將DSM升級至最新版本的DSM 4.3-3810 Update 4,以避免往後再次發生同樣的問題。

若是還有其他關於DSM使用上的問題,歡迎您再填寫技術支援表格與我們聯絡。

镜像链接:谷歌镜像 | 亚马逊镜像

分类: 科技, 计算机 标签:
  1. 本文目前尚无任何评论.
  1. 本文目前尚无任何 trackbacks 和 pingbacks.