主 题：用FiberState的朋友注意了,服务商疑似被入侵
发 布 者：e330r4ever
标签分类： 情报
时 间：2026-10-16 15:48:12
内容预览：我的 FiberState 独服 10-16 被人用 SSH 密码直接登录.对方第一次就用对了密码,之前没有任何爆破记录.对方做了这些事：用 root 权限导出了机器上所有 SSH 私钥和 authorized_keys全盘搜索 FiberState 自家内部系统（DCIM、Cacti 等）的地址和主机名在 /tmp 放了一个密码破解程序,带着一份疑似别家主机客户的账号哈希,拿我机器当算力约每 90 秒登录一次，看起来是自动化的IOC来源 IP：64.83.25.186（AS979 NetLab Global，洛杉矶）时间：2026-10-15 16:57 UTC 至 10-16 03:00 UTC破解程序 SHA256：4938cc071d6752be5388456b5ebc1a78ab343110021ec7fdea4244347950d044目前没发现后门,我推测可能是服务商这边出了问题,但没有证据,已开工单询问.建议各位：查一下 SSH 登录日志里有没有上面这个 IP（journalctl -u ssh | grep 64.83.25.186）关闭 SSH 密码登录,只用密钥,我偷懒了一直没关密码检查 /tmp、authorized_keys,以及有没有不认识的进程轮换机器上存放的私钥和各类 API 凭据
直达链接： https://www.nodeseek.com/post-987451-1
发 布 者：e330r4ever
标签分类： 情报
时 间：2026-10-16 15:48:12
内容预览：我的 FiberState 独服 10-16 被人用 SSH 密码直接登录.对方第一次就用对了密码,之前没有任何爆破记录.对方做了这些事：用 root 权限导出了机器上所有 SSH 私钥和 authorized_keys全盘搜索 FiberState 自家内部系统（DCIM、Cacti 等）的地址和主机名在 /tmp 放了一个密码破解程序,带着一份疑似别家主机客户的账号哈希,拿我机器当算力约每 90 秒登录一次，看起来是自动化的IOC来源 IP：64.83.25.186（AS979 NetLab Global，洛杉矶）时间：2026-10-15 16:57 UTC 至 10-16 03:00 UTC破解程序 SHA256：4938cc071d6752be5388456b5ebc1a78ab343110021ec7fdea4244347950d044目前没发现后门,我推测可能是服务商这边出了问题,但没有证据,已开工单询问.建议各位：查一下 SSH 登录日志里有没有上面这个 IP（journalctl -u ssh | grep 64.83.25.186）关闭 SSH 密码登录,只用密钥,我偷懒了一直没关密码检查 /tmp、authorized_keys,以及有没有不认识的进程轮换机器上存放的私钥和各类 API 凭据
直达链接： https://www.nodeseek.com/post-987451-1
