主 题：yidadaa/chatgpt-next-web容器被投毒？
发 布 者：Akiker
标签分类： 技术
时 间：2026-10-18 17:28:52
内容预览：一直没打开过服务器的宝塔，今天突然发现CPU一直爆红（看了下探针发现一键好几天100%了），发现是一个名为.sysd的进程，问了下d老师疑似是恶意程序，然后让d老师连ssh大战后发现是yidadaa/chatgpt-next-web的docker容器的挖矿程序好在是在docker容器里面的，宿主机目前没有异常情况下面是事件记录：挖矿木马入侵事件报告主机：23.80.82.179（US Hostdzire，Debian 12，4 vCPU / 5.9 GB）发现时间：2026-10-18 17:00处置时间：2026-10-18 17:05–17:22结论：Docker 容器 chatgpt-next-web（NextChat）被命令注入攻破，容器内被植入 XR 系列挖矿僵尸网络；宿主机未被突破，容器已停止。一、现象与根因项内容现象CPU 100% user 态（4 核全满），load 5.79，可用内存仅剩 153 MB元凶/usr/sbin/.sysd（PID 3170019），400% CPU、2.3 GB RSS本质XMRig（RandomX）挖矿程序，Exe 已删除（memfd:upx 无文件执行）载体容器 bff354e376ff = yidadaa/chatgpt-next-web，公网 0.0.0.0:3000入口NextChat 命令注入（用户可控输入拼入 shell），以 root 在容器内执行二、样本清单（隔离于 /root/malware-quarantine-20261018/） 文件（运行路径）类型大小MD5作用1/usr/local/bin/671a5fa21c16Go ELF（UPX，解壳 18.9 MB）6,015,9160b07b18b0966b58e8d11adc25042d3adC2 后门：PTY shell、文件上传/下载、beaco
直达链接： https://www.nodeseek.com/post-991570-1
发 布 者：Akiker
标签分类： 技术
时 间：2026-10-18 17:28:52
内容预览：一直没打开过服务器的宝塔，今天突然发现CPU一直爆红（看了下探针发现一键好几天100%了），发现是一个名为.sysd的进程，问了下d老师疑似是恶意程序，然后让d老师连ssh大战后发现是yidadaa/chatgpt-next-web的docker容器的挖矿程序好在是在docker容器里面的，宿主机目前没有异常情况下面是事件记录：挖矿木马入侵事件报告主机：23.80.82.179（US Hostdzire，Debian 12，4 vCPU / 5.9 GB）发现时间：2026-10-18 17:00处置时间：2026-10-18 17:05–17:22结论：Docker 容器 chatgpt-next-web（NextChat）被命令注入攻破，容器内被植入 XR 系列挖矿僵尸网络；宿主机未被突破，容器已停止。一、现象与根因项内容现象CPU 100% user 态（4 核全满），load 5.79，可用内存仅剩 153 MB元凶/usr/sbin/.sysd（PID 3170019），400% CPU、2.3 GB RSS本质XMRig（RandomX）挖矿程序，Exe 已删除（memfd:upx 无文件执行）载体容器 bff354e376ff = yidadaa/chatgpt-next-web，公网 0.0.0.0:3000入口NextChat 命令注入（用户可控输入拼入 shell），以 root 在容器内执行二、样本清单（隔离于 /root/malware-quarantine-20261018/） 文件（运行路径）类型大小MD5作用1/usr/local/bin/671a5fa21c16Go ELF（UPX，解壳 18.9 MB）6,015,9160b07b18b0966b58e8d11adc25042d3adC2 后门：PTY shell、文件上传/下载、beaco
直达链接： https://www.nodeseek.com/post-991570-1
