主 题：VPS 被黑后沦为 VNC 扫描 / 爆破节点：一次排查记录及自查方法
发 布 者：vps
标签分类： 日常
时 间：2026-10-19 15:56:58
内容预览：VPS 被黑后沦为 VNC 扫描 / 爆破节点：一次排查记录及自查方法最近发现一台 VPS 的 CPU 占用异常，使用 htop 检查后，发现多个伪装成 systemd 组件的可疑进程。进一步排查发现，服务器早在 2026 年 9 月 9 日就已经遭到入侵。攻击者创建了一个名为 systemctl 的账户，赋予 sudo 权限，通过 SSH 登录后安装了一套远程控制程序，将 VPS 变成了 VNC 扫描和密码爆破节点。更麻烦的是，这套程序配置了 systemd + cron + rc.local + 多处二进制备份，即使杀死进程或删除部分文件，也可能自动恢复。整理一下这次排查过程，也提醒其他 VPS 用户检查自己的服务器。一、最初发现：CPU 占用异常通过 htop 发现多个高 CPU 占用进程：/var/lib/systemd/catalog/update-helper \/var/lib/systemd/catalog/.cache/targets.txt \/var/lib/systemd/catalog/.cache/passwords.txt \200 3600另外还发现：/var/lib/systemd/catalog/systemd-sync-helper/var/lib/systemd/catalog/systemd-network-monitor/var/lib/systemd/catalog/socket-helper这些名称看起来像正常系统组件，但并不是标准的 systemd 程序。检查文件目录：ls -lah /var/lib/systemd/catalog/ls -lah /var/lib/systemd/catalog/.cache/发现了：update-helper 2.8Msocket-helper
直达链接： https://www.nodeseek.com/post-993653-1
发 布 者：vps
标签分类： 日常
时 间：2026-10-19 15:56:58
内容预览：VPS 被黑后沦为 VNC 扫描 / 爆破节点：一次排查记录及自查方法最近发现一台 VPS 的 CPU 占用异常，使用 htop 检查后，发现多个伪装成 systemd 组件的可疑进程。进一步排查发现，服务器早在 2026 年 9 月 9 日就已经遭到入侵。攻击者创建了一个名为 systemctl 的账户，赋予 sudo 权限，通过 SSH 登录后安装了一套远程控制程序，将 VPS 变成了 VNC 扫描和密码爆破节点。更麻烦的是，这套程序配置了 systemd + cron + rc.local + 多处二进制备份，即使杀死进程或删除部分文件，也可能自动恢复。整理一下这次排查过程，也提醒其他 VPS 用户检查自己的服务器。一、最初发现：CPU 占用异常通过 htop 发现多个高 CPU 占用进程：/var/lib/systemd/catalog/update-helper \/var/lib/systemd/catalog/.cache/targets.txt \/var/lib/systemd/catalog/.cache/passwords.txt \200 3600另外还发现：/var/lib/systemd/catalog/systemd-sync-helper/var/lib/systemd/catalog/systemd-network-monitor/var/lib/systemd/catalog/socket-helper这些名称看起来像正常系统组件，但并不是标准的 systemd 程序。检查文件目录：ls -lah /var/lib/systemd/catalog/ls -lah /var/lib/systemd/catalog/.cache/发现了：update-helper 2.8Msocket-helper
直达链接： https://www.nodeseek.com/post-993653-1
