记一次公司数据库被黑事件

[billyu]

时间：

2017.2.4 上午 开工第一天

经过：

A. 9 点钟，公司几个小伙伴都准时来了（除了产品经理），吃早餐、喝水，此时一切正常。

B. 9 点一刻，老板出场，每人问候一遍，查看项目进度，发现 app 无数据，我试图登录远程服务器，无果，等待产品经理开服务器

C. 9 点半到 10 点，与老板私聊转正。

D.10 点钟，产品经理出场，发现远程服务器被别人关闭，手动打开后， ssh 登录出现以下界面Imgur，打开目标链接：Imgur， mysql 数据库被初始化。

大写的一脸懵逼

[krisbai]

服务器产品经理管？？？？？？？？

[songsong]

然后呢, 赶快排除是谁的锅吧, po 主还在这发帖

[misaka19000]

前排小板凳已经摆好了

[billycs]

服务器产品经理管？？？？？？？？

[demoxu]

前排小板凳已经摆好了，等着看结果

[kookxiang]

数据库躺枪

[abc123ccc]

我也觉得奇怪，为啥服务器由产品经理接管呢？？

[Moker]

怎么产品管数据库

[R18]

app 无数据都没人反馈的。。

[Mizzi]

THIS MACHINE HAS BEEN INFECTED WITH RANSOMWARE | THIS MACHINE HAS BEEN INFECTED WITH RANSOMWARE

[x86]

越来越看不懂产品经理了…都能管服务器了

[rekulas]

由此可见 使用专门的第三方数据库服务器还是有意义的

[SoloCompany]

楼上两位有什么故事要说？

[holyzhou]

咱实话实说　是不是云服务器开到外网去了　然后还是 root + 弱密码？应该还是通过 ssh 进来的，因为你机器关机了，一般情况下你运行 mysql 的用户没有关机权限。

[Systemd]

图片码没打好...标题栏上 IP 暴露了...

有备份吗？

[lxlgod]

感觉大兄弟已经有应对的办法，还那么悠闲

[gamesbain]

THIS MACHINE HAS BEEN INFECTED WITH RANSOMWARE | THIS MACHINE HAS BEEN INFECTED WITH RANSOMWARE

Hi,

This machine has been infected by ransomware.
You must pay 2 BITCOINS to: 1BbojChKJh3ste5Ky96sysvC1dxd1hGHNi to retrieve your files and/or prevent them from being leaked.

We are the only ones in the world that can provide your files to you.
When your machine was hacked, your files were sent to a server that we control.

You can e-mail [email protected] for support, but please don't send us e-mails unless
you have paid or are prepared to pay.
Questions such as "can I see my files first?" will be ignored.

FBI ADVISE FOR YOU TO PAY: https://www.tripwire.com/state-of-security/latest-security-news/ransomware-victims-should-just-pay-the-ransom-says-the-fbi/

HOW TO PAY:

You can purchase BITCOINS from many exchanges such as:

http://okcoin.com
http://coinbase.com
http://localbitcoins.com
http://kraken.com

When you have sent payment, please e-mail [email protected] with "paid" in the subject so we can answer your e-mail first.
Send us:

1) SERVER IP ADDRESS
2) BTC TRANSACTION ID

and we will then give you access to files, you can delete files from us when done from an FTP server.

Goodbye!

[daveincave]

紧张的甩锅活动开始了😰

[mhycy]

大概楼主口中的产品经理指的是他们的直属领导
应该叫部门经理比较合适，技术出身，规划产品的大体走向开发节奏并分派任务

[irainsoft]

谁管服务器谁的锅

话说这样子数据基本没希望了...直接重装系统拿备份文件恢复吧

[wildcat007]

赶紧恢复啊~找 dba 恢复，有木有备份？你还在这里发帖！

[onesez]

从删库到跑路

[wq2016]

嗑瓜子中。。

[zgqq]

666

[wdlth]

勒索病毒？没备份的话就麻烦了。

[murmur]

勒索都是数据直接删除的，他既然拿你 root ， dba 都没戏了，就看你们的每周备份能恢复多少了

给比特币是最傻逼的做法

[murmur]

然后，如果按照不转不是中国人怎么写
今天你支持比特币，明天加密你文件删你库的资金就是你提供的

[lan894734188]

啧啧 产品经理 密码是纯数字吧 直接上 root 吧

（滑稽

[Infernalzero]

贵公司的产品经理这是还兼了运维了？

[kn007]

产品经理管数据库服务器，很牛。。全栈产品经理。。

[cxlg66you]

前排

[w4462358]

mark

[yghack]

备份呢？

[huxiweng]

好了，看到你帖子，我也中招了，一脸懵逼： https://www.v2ex.com/t/338079#reply1

[krisbai]

最近比特币还涨价了。。。

[tabris17]

恩，运营可以休息一礼拜了

[tabris17]

另外产品经理管服务器？

[rabbitinhere]

mark
等待处理结果

[pwcong]

直接上 root 的产品经理:)

[YzSama]

估计辞职人数多达部门 3 人以上。

[forgcode]

哦！这就是比特币涨价的原因？

[spark]

看来转正没戏了

[linbiaye]

估计是个小公司，没啥安全意识， ssh root 被都被拿了。

[kokutou]

2 比特币。。。 2000 多美元。。

好像不算贵？

[s1ma]

遇到收保护费的了，最近比较热的就是 redis 、 mongodb 等配置不当导致的被黑。

尤其 redis 如果未授权，并且对外开放端口，很容易被搞到服务器权限的。

猜测一般是弱密码导致的……不过数据没备份又被初始化这就是个悲伤的故事了！~

[tookbra]

啊哦，直接 root 登陆（囧） 找找备份数据，能还原多少是多少， 支付比特币不靠谱

[chinafeng]

产品经理都能管服务器了 ?

[chinafeng]

哎, V2 到底怎么发图才会显示...

[panzhc]

开始以为黑产品经理的，看了 /t/338079 ，应该都是 mongo 直接开公网没设置密码导致的，缺乏安全意识

[frozenshadow]

.......前几天 mongo 也被勒索了，但人家只要 0.05btc 啊

[urmyfaith]

backup ？

[ahkxhyl]

老板都拿着刀站在你后面了 你还在刷帖~

[Rabbit52]

等待产品经理开服务器，这锅甩的好

[vloony]

乖乖给钱吧 我认为两个比特币的价格还是可以接受的 只能自认倒霉

[konakona]

才 2BTC ，赶紧付了吧。
顺便态度好一点问下是怎么入侵的，并说 2BTC 是感谢他们找到漏洞，以后一定加强安全检测。

人家 2BTC 不算太过分-。-
但是为什么给 PM 管服务器？？？

[limhiaoing]

上面几楼怂恿说 2BTC 不贵赶紧支付的是什么心态。

[m31271n]

不用支付了，基本上被脱了库也不会有人备份的。想想那么多数据库被脱，得需要多少存储。

[jay4497]

这种不是一般就算付了也不会给还原麽，感觉没戏了。。。

[sheep3]

spring boot 群那个老哥么.....

[sobigfish]

mark,引以为戒 -.-

[abc123ccc]

楼主，你们的服务器让我来接管吧，保证安全，至少我维护的 VPS 一直没有问题。

[zmj1316]

@m31271n 这是先本地加密再删库，勒索的是密码啊，存受害者那里的...

[limhiaoing]

@zmj1316 看描述并不是本地加密。

[processzzp]

@zmj1316 并不是，它直接把库删了然后留个信息走人，就算你付了钱它那边也没有你的数据。这不是“有良心”的勒索软件，这是骗一个傻子算一个。

[mseasons]

砍死他们你就是老大了。

[buir]

喊你 PAY 、、、哈哈哈~ 内鬼多半是！

[mingyun]

围观，结果呢

[vanillahz]

估计是密码被扫什么的，安保不当。
“ FBI 建议你付钱”，他的意思已经很明显了。

[precisi0nux]

AWS RDS 保平安

[zylaputa]

最近做这种"生意"的感觉很多，家里挂个树莓派一天都能被扫八百遍。

[lightening]

看数据库 log 。一般 Twitter 上的例子，都是直接 drop 留信息走人。
MongoDB 某些版本默认是监听 0.0.0.0 而且没密码的，一个周末被人 drop 几次，后一个人过来把前一个人的勒索信息 drop 再放个自己的信息的都有。别指望能弄回数据了。

[murmur]

@konakona 这种勒索的都是删库走人，今天你付款，支持比特币，明天删你库加密你文件删除你网站的经费就是你提供的

[peneazy]

FBI 这都能搬出来

[discrete]

@lightening 感觉是自动化吧，这时候你付钱恢复的是上一个勒索信息 2333

照这么说，一直付钱还是能拿回数据的

[Systemd]

@precisi0nux AWS RDB 支持 MongoDB 了？

[clifftts]

然后题主也被初始化了？

[precisi0nux]

@Systemd 楼主说的是“ mysql 数据库被初始化”，所以我就提到 RDS 了， MongoDB 是 NoSQL 的，要在 AWS 找代替品的华可以看看 DynamoDB 。

[Systemd]

@precisi0nux 抱歉 是我搞错了……

[lyragosa]

吓得我赶紧检查了一下备份数据

[vosb]

好多中招的啊

[spike774]

年里头我妈的电脑也中了类似的病毒，文件被加密并且付了勒索信，内容基本都一致。病毒名是 CryptXXX 3.0 ransomware.
被恶意加密的文件基本无解，卡巴斯基之前出过一款恢复软件，原理上是比对未被加密的相同文件，暂时在 windows 平台有用，但是也没办法保证恢复。
相关链接：
https://malwaretips.com/blogs/remove-cryptxxx-3-0-ransomware-crypz-files-encrypted/
https://www.pcrisk.com/removal-guides/9963-cryptxxx-ransomware
https://support.kaspersky.com/viruses/disinfection/8547#block1

[SingeeKing]

@chinafeng 评论里面发图只有几个固定的图床才会显示

[raptor]

赶紧用 ZFS ，定时快照，只要 ROOT 不丢，再怎么加密删库损失都不会太大

[harker]

产品经理管数据库会不会很水，赶快找备份吧

[konakona]

@murmur 应该竭力禁止再发生第二次。不是说每时每刻都要交钱给那些找到你服务区漏洞的人，不要曲解了我的意思。做事有很多种方法，目前已经是楼主最糟糕的情况了，有一条路可以选，而且希望很大，那先想办法把问题解决了比讲什么都重要，对不对？（交钱拿回数据库，态度友好弄明白问题所在，避免下一次。其实我也遇到过我一些客户有好心的白客提供问题所在，加强他们的安全意识。）

[oojiayu]

@gamesbain 看这个比特币账户，貌似没有人付过钱。 1 分钱都没有收到过……

[sobigfish]

@oojiayu #86 这个不用看，他们多半都会新开 wallet ，而且收到后马上转移，那个 wallet 再也不会用了

[lightening]

@discrete 　不，问题是 log 里完全没有读的操作。都是看都不看上来就 DROP 。每个 attacker 都是这样。其实他们备份数据成本挺高的，还不如直接 drop 掉。

[lightening]

@sobigfish 我 Twitter 上看到别人贴出来的账户，收了 7 个 BTC 了。

[huangchendz]

我靠，暗网上的免费邮箱，还不是自己搭的

[discrete]

@lightening 那这就很尴尬了

[likunyan]

期待直播

[lightening]

@discrete 对啊，所以我叫楼主看看 log ，对方是不是真的有读过数据。

[msg7086]

@konakona 如果楼主交了钱以后拿不到数据，层主你准备怎么补偿？

[jianghu521]

进展如何？

[yanzixuan]

@oojiayu mongodb 大规模被搞的时候，有人就说过，你给了钱也不一定给能恢复数据啊。

[billyu]

谢谢大家的关心，统一回复下，没有付比特币，之前备份的恢复了一些数据，目前还在赶工，可累屎我啦

[silov]

看下你们的 redis 是不是外网开放的。。。。

[billyu]

@silov 是的 现在把端口关了

[konakona]

@msg7086 我也是醉了。明摆着是赌博道理，为什么总有人跑出来站着说话不腰疼，如果楼主公司有那个水平能通过技术渠道拿回数据库，早就去弄了。支持 BTC 只是一个办法。