巴比特论坛

巴比特App广告
发表于 2013-11-12 15:55:30 | 显示全部楼层
  【IT168 资讯】近期,一种名为比特币的新型虚拟货币在网上异常火爆,其兑换峰值曾高达1比特币换266美元。比特币是一种网络虚拟货币,因为具有高匿名性,导致一旦出现被盗问题将很难追查,因此备受黑客关注,用户一旦感染与比特币相关的病毒,账号中的比特币将直接被盗。而随着高性能计算逐渐从阳春白雪的姿态转变为亲民形象,很多黑客则将关注点转向进攻高性能计算服务器系统,植入木马程序,耗费用户系统资源来进行“比特币挖矿”活动。此次,黑客盯紧了清华大学生命科学学院的高性能计算机群,对其高性能计算服务器进行了入侵。
  北京并行科技有限公司作为清华大学多个学院的机群运维服务商,一直以来为用户提供优质的高性能计算机群运维服务,并以自主研发的Paramon和Paratune软件作为清华驻场运维的管理运营利器。在此次黑客入侵清华HPC机群中,Paramon和Paratune“大显身手”,一举解决用户应用维护的后顾之忧。
  本月月初,并行科技运维人员在清华大学生命科学学院例行远程巡检时,发现其中一台登陆节点的CPU(all)%值(CPU总利用率所占的百分比)达到100%(如下图1所示),而且在Paramon进程模式下能够清楚地查看到是由root用户(minerd@root)运行,如下图2所示。此现象引起了并行科技运维人员的关注,通过Paratune打开的para文件(如下图3所示)发现,该任务的提交时间也与学生经常运行的作业特征不符,且root的密码只有一位管理员知晓,询问清华学生后发现并未提交该任务,故而直接锁定为非法程序。


黑客入侵清华HPC机群,Paramon识别某节点
服务器CPU(all)%值达100%

Paramon软件快速识别CPU每核进程及用户工作情况

Paratune软件复现“挖矿”程序消耗资源过程

  此非法程序的进程名是minerd,顾名思义为“矿工”进程,它属于比特币的“挖矿”程序,通过大量持续的计算将有机会获取比特币,一般把这个计算过程叫做“挖矿”。“挖矿”的时候需要连接到“矿场”,清华的这台机器连接到的是一个捷克的IP地址,这个地址就是捷克的一个“矿场”。
  同时,并行科技运维人员在服务器上的/etc/passwd/ 中找到两个账户bash 和 svc,它们的UID(User ID)均为0(Linux系统通过UID识别账户身份,0的权限和超级用户root一样), /etc/group 也有两个对应组,GID(Group ID) 是 6028 和 6029。经过确认,运维人员认定2个用户属于“后门”用户。
巴比特站长。一切有助于提升比特币等数字货币普及应用的事,都是巴比特所关心的。

2条回复 跳转到指定楼层

宫剑辉 | 船员 | 发表于 2013-11-12 18:28:54 | 显示全部楼层
据神鱼微博宣称
“清华超算被黑,疑似挖掘pts,使用的程序是ptspool.com的挖矿程序 ”
极客远行 | 船员 | 发表于 2013-11-12 19:58:48 | 显示全部楼层
来势汹汹。正面的来,负面的也来。
高级模式
您需要登录后才可以发帖 登录 | 立即注册 | 用新浪微博登录

本版积分规则

搜索

1关注 145粉丝 105主题

作者的其他主题

返回顶部 返回列表

登录

分享 发帖