1
resposta

Virus no usuário PostgreSQL

Tenho trabalhado num projeto com Docker e tem o usuário postgreSQL que fica consumindo 100% das CPU's. Na tentativa de resolver o problema pesquisei pelo comando /tmp/kdevtmpfsi e pelo /tmp/kinsing e tudo indica que sejam comandos para minerar bitcoin.

Meu arquivo compose está assim:

services:
  connecta_web_database:
    container_name: connecta_web_database
    image: postgres:16.4
    restart: always
    volumes:
      - connecta_web-db:/var/lib/postgresql/data
    environment:
      - LC_ALL=C.UTF-8
      - POSTGRES_DB=connecta_web_db
      - POSTGRES_USER=connecta_web_dbmanager_2LiyBoLHeHo5yG
      - POSTGRES_PASSWORD=*******
      - POSTGRES_HOST_AUTH_METHOD=md5
    networks:
      - *****
    ports:
      - "5439:5432"

Insira aqui a descrição dessa imagem para ajudar na acessibilidade

Gostaria de uma ajuda na tentativa de solucionar o problema.

1 resposta

Olá, Afrânio!

Analisei o caso e parece que a própria imagem oficial do PostgreSQL está comprometida com esse malware. Há vários posts no Reddit e Stack Overflow relatando a mesma situação.

Para resolver isso, você pode adotar os seguintes passos:

  1. Interrompa os processos suspeitos: Use o comando kill para encerrar os processos relacionados a /tmp/kdevtmpfsi e /tmp/kinsing. Por exemplo:

    kill -9 936553 936554 936555 936556 936557 1498945 1498946 1498950 1498970
    
  2. Remova os arquivos maliciosos: Verifique e remova os arquivos suspeitos no diretório /tmp:

    rm -f /tmp/kdevtmpfsi /tmp/kinsing
    
  3. Implemente medidas de segurança adicionais:

    • Considere usar ferramentas de monitoramento de segurança.
    • Revise suas senhas e políticas de autenticação.
  4. Reveja o acesso SSH:

    • Verifique se há acessos SSH não autorizados e considere mudar a porta padrão do SSH.
    • Use autenticação por chave SSH em vez de senha.
  5. Reinicie o sistema: Depois de tomar essas medidas, reinicie o sistema para garantir que todos os processos maliciosos tenham sido encerrados.

Bons estudos!