今天让 codex 帮我分析了下日志，看上去应该是被执行了一样的脚本，好在我个人习惯，总是喜欢直接更新到最新系统，这次似乎防住了。
之前网上看到几例声称最新系统也有中招的，搞得我现在依然挺慌的。
直接看 Codex 给我的分析结论：
[b]有重要新发现：你的 NAS 确实遭到过与近期 C3RB3R 案例一致的攻击尝试，但目前没有发现成功感染或加密文件的证据。[/b] 这需要补充修正前面的初步结论。
管理员日志确认了三次恶意请求，时间均为 GMT+8 时间：
[table][tr]时间攻击来源[/tr][tr][td]10 月 28 日 14:10[/td][td]104[.]253[.]175[.]125[/td][/tr][tr][td]10 月 28 日 18:31[/td][td]46[.]8[.]78[.]122[/td][/tr][tr][td]10 月 29 日 10:08[/td][td]46[.]8[.]78[.]122[/td][/tr][/table]请求把恶意指令藏在登录用户名里，企图植入 [b]root 每分钟下载并执行 xdy5.sh[/b] 的计划任务。其特征与 Rapid7 的漏洞分析及 C3RB3R 受害者公布的脚本地址一致。[b]仅看到“登录失败”不能判断这类攻击是否失败。[/b]
深入核查得到的好消息是：
[list]
[*][b]攻击前已有补丁[/b]：更新日志确认 10 月 23 日已安装 90080 Update 1。
[*][b]未见程序残留[/b]：已知载荷、标记文件均不存在；检查的 281 个进程中，没有发现从临时目录运行或可执行文件已删除的情况。
[*][b]未见恶意任务[/b]：当前计划任务中没有对应下载命令。
[*][b]未见执行或清理痕迹[/b]：检索了 23 个当前及轮转日志、约 [b]37 万行[/b]，删除日志和任务日志没有命中相关特征。
[*]加上前一轮文件筛查，[b]仍未发现勒索加密迹象[/b]。
[/list]
⚠️内容来自互联网，如有侵权请点击反馈！侵权投诉