关于近期有些用户VNC端口被扫描和入侵的说明

关于近期有些用户VNC端口被扫描和入侵的说明

一、情况说明

     最近几个月，陆续开始有用户反馈Linux服务器的系统分区的剩余可用空间被占满了，经检查发现是vnc收到攻击导致生成的海量日志；主要原因是有些用户设置简单的弱密码和映射默认端口，导致经过简单的爆破就可以破解进行入侵，攻击者可用随便登录和访问无盘服务器，安装任意他们想安装的软件包。

******请大家尽快按照此文档进行自查**********

二、入侵说明

1、攻击者在服务器Linux上安装Python3。

2、将恶意的脚本拷贝到/var/tmp目录下，脚本名称为nxp_miner.py。

3、修改linux计划任务，每次系统启动后自动执行这个脚本。

4、py脚本模拟NxD管理器的的远程任务管理器操作。

三、检查方法

1、执行pstree命令，看看是否有python3的进程，网众Linux服务器默是没有安装python包的。

2、检查/var/tmp目录下是否有Python的脚本

3、检查已开机的工作站进程列表是否有下列进程信息

四、解决方法：

1、升级服务端版本：nxp-9.0.4302-pro.run

2、升级客户端版本：nxdcli-w7-w10-bar-9.0.0.4302-whql.exe

3、服务端使用命令：killall -9 python3，杀掉python进程

4、恢复计划任务脚本。在服务端的/var/spool/cron/crontabs目录下，检查是否有root文件，如果有，命令行执行geany root&打开检查，如果有对应的脚本命令，删除掉，保存即可。

5、不要映射默认的端口号5901，强烈建议取消VNC端口外网映射

6、VNC密码要设置强密码，密码长度不得少于8位，须包含大小写字母、数字及特殊符号组合，以及定期更换密码