Телеграмм чат группы devopsmoscow страница 1313

Size: a a a

DevOps Moscow

2021 March 26

Это уже готово

docker update --restart=no CONTAINER_NAME; docker stop CONTAINER_NAME;
и смотрите запуустится или нет. если запустится, то ищите на хосте кого то странного.

источник

17:13пожаловаться #1

A™

Antonio ™ in DevOps Moscow

Vladimir Ryumin

он может быть прописан в каком то systemd unite с restart always и даже если он удалить его не поможет

Да, но бывает, что это процесс и в существующем контейнере запускается

источник

17:13пожаловаться #2

ptchol in DevOps Moscow

ах вон оно как.

источник

17:14пожаловаться #3

Vladimir Ryumin in DevOps Moscow

системд юнит запускате docker

источник

17:14пожаловаться #4

Alexey in DevOps Moscow

я бы для уверенности удалил все контейнеры
docker system prune -a, и перезапустил сервис докера

источник

17:14пожаловаться #5

Vladimir Ryumin in DevOps Moscow

типо execstart=docker

источник

17:14пожаловаться #6

Vladimir Ryumin in DevOps Moscow

а перед этим может быть еще prestart=docker pull

источник

17:14пожаловаться #7

ptchol in DevOps Moscow

Antonio ™

Да, но бывает, что это процесс и в существующем контейнере запускается

тоесть у вас во всех контейнерах случайным образом появляется этот бинарь и работает там ?

источник

17:15пожаловаться #8

A™

Antonio ™ in DevOps Moscow

ptchol

ах вон оно как.

Да, это и кажется еще более странным. Будто реально кто-то этим занимается, но на хосте вроде никого нет. Sshd часто остановлен.

источник

17:15пожаловаться #9

A™

Antonio ™ in DevOps Moscow

ptchol

тоесть у вас во всех контейнерах случайным образом появляется этот бинарь и работает там ?

Может как-то рандомно запуститься, но заметил, что только в Alpine контейнерах

источник

17:15пожаловаться #10

A™

Antonio ™ in DevOps Moscow

В debian контейнерах такого не встречал

источник

17:16пожаловаться #11

A™

Antonio ™ in DevOps Moscow

Неделю назад был инцидент

источник

17:16пожаловаться #12

A™

Antonio ™ in DevOps Moscow

Кто-то по ssh появился на севере, после чего была смена всех ключей, портов и прочего.

источник

17:17пожаловаться #13

Vladimir Ryumin in DevOps Moscow

я про то что замаскировать 10005000 способов от запуска вредоностно с привеледж тру и потом инджексится в контенеры до работ DOCKER API

источник

17:17пожаловаться #14

Vladimir Ryumin in DevOps Moscow

по моему лучше нести тачку )))

источник

17:17пожаловаться #15

A™

Antonio ™ in DevOps Moscow

Согласен

источник

17:17пожаловаться #16

A™

Antonio ™ in DevOps Moscow

Vladimir Ryumin

по моему лучше нести тачку )))

Перезалить полностью?

источник

17:17пожаловаться #17

A™

Antonio ™ in DevOps Moscow

Antonio ™

Кто-то по ssh появился на севере, после чего была смена всех ключей, портов и прочего.

И после этого начали проявления происходить

источник

17:18пожаловаться #18

ptchol in DevOps Moscow

удалить и накатите заново

источник

17:18пожаловаться #19

Vladimir Ryumin in DevOps Moscow

если у тебя руут пользователь уже компрометирован хз какие там еще блэкдоры могут быть

источник

17:18пожаловаться #20