记：云服务器被暴破感染bioset

写在前面

　　之前服务器借人用设了个弱口令，大概这就是被暴破的原因吧。所以写在开头，切记做好服务器防护！如提高口令复杂度，登陆失败锁定等。做肉鸡不可怕，就怕数据丢失，数据安全是第一要义。本人也并非专业的安全人员，所以只能业余的在这里记录一下了，如果能给到各位有所参考，那实属荣幸。

问题发现

　　直接发现服务器上面的业务响应比较慢，以为是其他网络一些原因导致的也没在意；后来给服务器挂载了一个数据盘，登录服务器发现比较卡，而且密码已经被篡改，考虑到服务器是借他人使用密码被改也是正常，当时也没放心上去排查，只是印象中看了一眼 top，负载已经有几十了。

　　昨晚朋友业务需要升级，协助登录后发现 top 占用高达60+，但是下方展示的内容并没有发现占用很高的进程，重启后发现负载仍旧在20+，遂联系客服，考虑是宿主机问题或是被挖矿病毒。

　　很感谢腾讯云客服的排查，最终锁定了“bioset”。系统由于被感染的文件较多，Linux静态链接库被劫持，挖矿的进程被隐藏，所以直接是看不到的，最终我选择了将业务打包迁移后重装系统了。

问题排查

　　因为 top 等一些命令都被篡改了，包括腾讯云后台监控也被破坏，数据无法加载出来，且轻量服务器流量有限，此病毒也未使用大量流量和内存，所以一直都没发现（最近各大云服务商打击挖矿行为，倒是没被通知）。在搜索引擎上搜索关键词“bioset”发现有部分用户也曾经被攻击，但是表现并未有对 top 等命令的破坏，所以网络上文章对 top、crontab 等命令可发现 bioset 进程相关信息，但是这次情况就比较隐秘。