今天让 codex 帮我分析了下日志，看上去应该是被执行了一样的脚本，好在我个人习惯，总是喜欢直接更新到最新系统，这次似乎防住了。
之前网上看到几例声称最新系统也有中招的，搞得我现在依然挺慌的。
直接看 Codex 给我的分析结论：
有重要新发现：你的 NAS 确实遭到过与近期 C3RB3R 案例一致的攻击尝试，但目前没有发现成功感染或加密文件的证据。 这需要补充修正前面的初步结论。
管理员日志确认了三次恶意请求，时间均为 GMT+8 时间：
| 时间 | 攻击来源 |
|---|---|
| 10 月 28 日 14:10 | 104[.]253[.]175[.]125 |
| 10 月 28 日 18:31 | 46[.]8[.]78[.]122 |
| 10 月 29 日 10:08 | 46[.]8[.]78[.]122 |
请求把恶意指令藏在登录用户名里，企图植入 root 每分钟下载并执行 xdy5.sh 的计划任务。其特征与 Rapid7 的漏洞分析及 C3RB3R 受害者公布的脚本地址一致。仅看到“登录失败”不能判断这类攻击是否失败。
深入核查得到的好消息是：
- 攻击前已有补丁：更新日志确认 10 月 23 日已安装
90080 Update 1。 - 未见程序残留：已知载荷、标记文件均不存在；检查的 281 个进程中，没有发现从临时目录运行或可执行文件已删除的情况。
- 未见恶意任务：当前计划任务中没有对应下载命令。
- 未见执行或清理痕迹：检索了 23 个当前及轮转日志、约 37 万行，删除日志和任务日志没有命中相关特征。
- 加上前一轮文件筛查，仍未发现勒索加密迹象。
Select Language