비명 지르는 케이스 팬이 내 NAS에 숨겨진 암호화폐 채굴기를 발견하도록 어떻게 도와주었는가

당신의 NAS가 갑자기 평소보다 더 시끄러워졌나요? 제 NAS도 몇 주 전에 그랬는데, 모두 암호화폐 채굴 프로그램에 해킹당했기 때문이었어요. 그래서 만약 당신의 NAS 서버 팬이 성가시게 느껴지고 평소에는 그렇지 않았다면—당신의 시스템이 침해당했을 수도 있습니다.

작업 부하(따라서 소음) 는 일반적으로 예측하고 제어하기 쉽습니다

나는 보통 내 서버가 시끄러워질 때와 아주 조용해야 할 때를 안다

랙 마운트 서버가 시끄럽고 불쾌하다고 생각할 수도 있지만, 틀린 말은 아닙니다. 하지만 대부분의 경우, 랙 마운트 서버도 조용할 수 있습니다. 지금 제 사무실에는 세 대의 NAS 서버가 운영 중인데, 네, 약간의 하얀 소음이 있긴 하지만 많지는 않습니다.

대부분의 NAS 서버는 부하가 많지 않을 때 비교적 조용합니다. NAS를 단순히 파일을 저장하고 공식적으로 미디어를 스트리밍하는 용도로 사용한다면, 특히 겨울에는 팬이 회전하지 않을 가능성이 높습니다.

NAS가 시끄러워지기 시작하는 시점은 언제나 스트레스가 많은 부하가 걸릴 때입니다. 이는 미디어를 트랜스코딩하거나, 많은 서비스를 실행하거나, 백그라운드에서 많은 파일 변환이나 AI 작업을 처리할 때일 수 있습니다. 하지만 일반적인 사용에서는 대부분의 NAS 시스템이 꽤 조용합니다.

NAS는 종종 조용하지만, 그 소음은 대개 꽤 예측 가능합니다. 예를 들어, 제 큰 랙 마운트 서버는 요즘 거의 항상 조용합니다. 예전에 그 위에서 직접 Plex를 운영할 때는, 한 번에 여러 개의 트랜스코딩을 하고 방이 따뜻할 경우 가끔 이를 돌리는 소리를 들을 수 있었습니다.

내 서버 팬이 약간 빨라지는 소리를 들을 수 있을 것 같은 또 다른 시점은 내가 호스팅하는 Minecraft 서버에 한 번에 많은 플레이어가 접속했을 때였다. 또는 서버에서 많은 데이터 처리가 진행되는 무거운 AI 작업을 하고 있을 때였다.

요즘에는 서비스를 여러 대의 컴퓨터에 분산시켜서 대부분의 서버가 꽤 조용하게 있습니다. 특히 사무실에 창문형 에어컨을 설치해서 냉방을 도와주고 나서는 더욱 그렇습니다. 이제는 그중 어느 것도 시끄러워지는 경우가 드물지만, 랙마운트 서버가 제트 엔진처럼 소리를 내면 예상하지 못한 일이어서 제 머릿속에서 경고가 울리고, 그런 정신적 경고가 울린 것이 다행이라고 생각합니다.

설명되지 않은 작업 부하는 해킹으로 인해 발생할 수 있습니다

예상치 못한 팬 회전으로 인해 내 서버가 해킹된 것을 알게 되었다

거기 나는 내 사무실에서 책상에 앉아 기사를 쓰고 있었고, 내 랙마운트 서버가 점점 더 빨리 돌아가기 시작하더니 내부 팬이 100%로 작동하기 시작했다. 그런 소리를 들은 지 오래되었고, 전혀 예상하지 못한 일이었다.

그래서 나는 하던 일을 갑자기 멈추고 서버를 살펴보기 시작했다. 처음에는 단순한 오류일 수도 있다고 생각했지만, 서버의 웹 UI에 로그인해서 CPU가 100%로 고정되어 있는 것을 보고 걱정하게 되었다. 나는 현재 이 서버를 파일 전송만 처리하는데 사용하고 있으며, 모든 서비스는 다른 시스템에서 실행된다.

나는 즉시 터미널에 들어가서 소속되지 않은 프로세스가 실행 중인 것을 발견했다: auto.c3pool.org에 속한 무언가였다.

간단한 조사를 해보니 내 CPU를 점령하고 있던 것은 암호화폐 채굴 봇넷이었고, 서버 팬이 100%로 돌아가고 CPU 사용률이 100%가 되었기 때문에 그 사실을 알게 되었습니다. 그 순간 시끄러운 서버가 있어서 나는 매우 행복했습니다.

NAS가 해킹당하면 해야 할 일

1단계: 당황하지 마세요

무슨 일이 일어나고 있는지 깨닫자 나는 위협을 완화하는 작업에 착수했다. 먼저 실행 중인 명령이 ps aux | grep ctrnd였기 때문에 해당 명령으로 실행 중인 서비스를 찾는 것으로 시작했다. 그 정보를 얻은 후 pkill ctrnd를 사용하여 채굴기의 실행 중인 인스턴스를 종료했다.

비슷한 문제를 겪고 있다면, 저와 비슷한 접근 방식을 취하는 것을 권합니다. 위의 스크린샷에서 볼 수 있듯이, ctrnd가 제 CPU 사용량을 100%로 치솟게 했습니다. 만약 암호화 봇넷에 감염되었다면, 완전히 다른 프로세스 이름일 수도 있습니다. 먼저 프로세스를 찾아 종료하는 것부터 시작하세요.

암호화폐 마이너가 사라진 후, 나는 그것이 어디서 들어왔는지 조사하기 시작했다. 내 시스템에서는, 내가 리버스 프록시 뒤에서 사용 가능하게 해둔 qBittorrent 클라이언트를 통해 내 네트워크로 들어온 것으로 확인되었다(웹 로그인과 fail2ban이 활성화된 상태였다). 봇넷을 완전히 제거하고 방화벽과 Pi-hole을 업데이트하여 일반적인 암호화폐 마이너를 차단하는 데 약 90분이 걸렸다.

정말로, 당신은 단지 체계적으로 접근해서 해킹이 어디서 시작되었는지 알아내고, 그들의 접근을 차단한 다음 구멍을 막으면 됩니다. 저 같은 경우에는 기본적으로 qBittorrent를 다시 배포하고 qBittorrent.conf 파일도 업데이트해야 했습니다. 구성 파일에 자동 재배포가 프로그래밍되어 있었습니다.

본질적으로, 부팅 시에 qBittorrent Docker 컨테이너가 실행 파일을 다시 실행하여 마이너를 다시 시작하게 되어 제거하기 어렵게 만들었습니다. 결국 모두 제거하긴 했지만, 모든 것이 해결되기까지 약 90분 정도가 걸렸습니다.

서버가 해킹당하는 것은 세상의 끝이 아니라 경종입니다

나는 내 홈랩이 해킹당하지 않았다는 것이 항상 멋지다고 생각했었다—즉, 해킹당하기 전까지는. 솔직히 말해서, 나는 ‘나한테는 안 일어났고 아마 일어나지 않을 거야’라는 이유로 내 홈랩의 보안에 대해 더 느슨하게 관리했었다.

하지만 실제로 그런 일이 일어나자, 나는 보안을 적절한 수준으로 강화했습니다. 몇몇 리버스 프록시를 끄고, 홈랩의 비밀번호를 바꾸고, 필요한 몇 가지 구멍이 더 막히도록 확인했습니다.

결국, 내 홈랩 세계는 서버가 침해되었다고 끝나지 않았고, 단지 수리해야 할 몇 가지 문제를 깨닫게 해주었을 뿐입니다. 이제, 제 실수에서 배우고 당신의 홈랩이 악용되기 전에 구멍을 막기를 바랍니다.