关于Pandora.x86勒索软件重复感染Vultr云服务器的排查方案咨询

真的替你头疼——Pandora.x86这种恶意程序反复找上门，尤其是你已经做了加固还中招，肯定是有没查到的漏洞或者后门。结合你的情况，我整理了一套逐步排查的思路，帮你揪出问题根源：

一、先从已关机的服务器镜像做离线取证分析 #

既然服务器已经关停，先别着急重建，先把Vultr上的服务器快照挂载到一个完全隔离的安全环境（比如本地虚拟机，或者另一个全新的、断网的Vultr实例）里，不要直接启动，避免恶意程序再次扩散。重点查这些内容：

• 系统日志排查：
  • 翻/var/log/auth.log：看有没有陌生IP的SSH登录记录，尤其是暴力破解成功的日志（比如出现Accepted password for root from xxx.xxx.xxx.xxx这种陌生IP的记录）。
  • 看/var/log/syslog和/var/log/dmesg：找Pandora进程启动的相关痕迹，或者奇怪的wget/curl/bash命令执行记录，比如有没有从陌生URL下载二进制文件的操作。
  • 检查/var/log/cron.log：有没有新增的定时任务，比如每隔几分钟就执行某个脚本下载恶意程序。
• 用户与权限检查：
  • 查看/etc/passwd和/etc/shadow：有没有新增的可疑用户，尤其是UID为0的超级用户（攻击者常创建隐藏账户留后门）。
  • 遍历每个用户的~/.ssh/authorized_keys：有没有陌生的公钥——这是攻击者最常用的留后门方式，一旦写入就能随时登录服务器。
• 恶意文件与进程残留：
  • 扫临时目录：/tmp、/var/tmp、/dev/shm这些目录是恶意程序最爱藏的地方，找有没有名字乱码或者带pandora关键字的可执行文件。
  • 查系统启动项：看/etc/rc.local、/etc/systemd/system下有没有可疑的服务单元，比如名字奇怪的自启动服务；用crontab -u root -l和每个普通用户的crontab -l检查定时任务，有没有定时执行恶意脚本的规则。
• Docker相关排查：
  • 检查快照里的/var/lib/docker目录：有没有可疑的镜像、容器残留，或者容器挂载了敏感目录（比如/root、/etc）导致权限逃逸——如果容器权限配置不当，攻击者可以从容器里突破到宿主机。

二、排查代码与依赖的安全性 #

既然同代码在其他服务商没问题，大概率是Vultr环境下的特定漏洞或者依赖问题：

• 扫描Python依赖漏洞：你列的依赖里有不少旧版本，比如urllib3==1.22（存在多个高危漏洞）、pycrypto==2.6.1（已停止维护多年，安全性极低）、mysql-connector-python==8.0.29（旧版本有认证绕过漏洞）。用pip-audit工具扫描：

  pip install pip-audit
  pip-audit
  

  找出所有高危漏洞的依赖，优先升级到最新安全版本。
• 检查自有Python代码：
  • 有没有硬编码的SSH密钥、数据库密码？如果有，很可能被泄露（比如代码提交到公开仓库）。
  • 有没有使用不安全的命令调用？比如os.system()、subprocess.Popen()如果直接拼接用户输入，容易被命令注入。
  • 有没有暴露敏感服务在公网？比如Selenium的远程调试端口、Prometheus/Node Exporter有没有做身份认证？如果这些服务直接开放给0.0.0.0，很容易被攻击者扫描利用。
• Selenium配置检查：如果用ChromeDriver，有没有用旧版本？有没有开启--remote-debugging-port且未做认证？这个端口如果暴露在公网，攻击者可以直接控制浏览器执行恶意代码，进而拿到系统权限。

三、排查Vultr环境的特殊性 #

因为其他服务商没问题，得看看Vultr这边有没有特殊情况：

• 网络端口配置：检查Vultr的防火墙和服务器本地的ufw规则，有没有开放不必要的端口？比如SSH（22）、MySQL（3306）如果开放给全公网，很容易被暴力破解。建议SSH只允许特定IP访问，其他非业务端口全部关闭。
• 镜像来源：重建服务器时用的是Vultr官方的Ubuntu 22.04纯净镜像吗？如果是自己的自定义镜像，可能之前就被感染了——下次重建一定要用官方纯净镜像，不要复用旧镜像。
• Vultr账户安全：你的Vultr账户有没有开启两步验证？有没有可疑的登录记录？攻击者会不会是通过你的账户直接操作服务器（比如植入后门、修改配置）？

四、重建服务器的安全加固建议 #

等排查出问题后，重建服务器时一定要做好这些加固：

• 最小权限运行：所有服务（Docker、Python程序、Selenium等）都用非root用户运行，不要给不必要的sudo权限。
• 严格端口管控：用Vultr防火墙+本地ufw双重限制，只开放业务必需的端口，SSH仅允许信任IP访问。
• 自动安全更新：开启Ubuntu的自动安全更新，或者每周手动执行：

  apt update && apt upgrade -y
  pip install --upgrade pip && pip-review --auto
  

• 监控告警：用Prometheus+Grafana监控CPU、内存、流量，设置告警规则（比如CPU突然飙升到100%、流量突增）；用fail2ban监控SSH暴力破解，自动拉黑可疑IP。
• 定期备份：每天备份数据库，每周创建服务器快照，确保数据安全，即使中招也能快速恢复。

备注：内容来源于stack exchange，提问作者merlin