개인적으로 돌리는 서버가 암호화폐 채굴로 추정되는 공격을 받음

갑자기 Java 프로세스가 CPU 점유율 100%를 지속적으로 점유하는 상황이 발생

서버 리부팅을 해도 몇 시간 뒤에 다시 점유율이 100%로 상승하는 기이한 현상이 생겼음.

어제 아파치 하둡을 깔았는데 그것 때문인가? 싶어서 하둡을 정지시켰는데 점유율에 변화가 없음

 

프로세스를 추적해 보니 /var/tmp 폴더에 'java'라는 의문의 실행 파일을 발견함

보통의 Java는 /usr/lib/jvm에 수동으로 설치했기 때문에 저 곳에 저런 파일이 있을리가 없음

이걸 삭제했더니 점유율 회복

그런데 찝찝해서 걍 서버 날리고 다시 만듦

 

'CPU 100%를 차지하는 프로세스'라는 점에서 암호화폐 채굴 공격이 의심되었는데

 

https://labitacoranet.wordpress.com/2018/05/16/forensic-analysis-of-a-cryptocurrency-mining-attack-in-a-big-data-cluster/ 

이 글을 읽어보니까

아파치 하둡의 공개 포트 중 하나(8088)를 타고 들어와서 하둡 API를 이용해 채굴 프로그램을 심는 수법이 존재한다고 함

 

사실 암호화폐 채굴 공격이 맞는지 100% 확신하는 증거는 없는데

진짜 그게 맞다면 채굴충들은 만만한 서버만 있다 싶음 어디든 달려드는 민폐덩어리가 아닐까...

아직도 코인질하는 흑우가 있나보다

니우짜오 공성전