很多企业的云服务器，经常图省事，一把 root 密钥"通杀"几十台机器——觉得"反正都是自家云"。可境外攻击者最懂"以一带多"：拿到这把密钥，等于一把钥匙开了一整排门。
接下来，我们将一步步拆解这套木马入侵的攻击手法。
攻击手法：两阶段，"试探 + 通杀"
第一阶段为试探阶段：前段时间，来源为南非、希腊、沙特等多个国家的IP地址对部署于阿里云、腾讯云的36台服务器发起大规模SSH暴力破解攻击，该阶段为攻击者的“撒网”行为，依托全球范围内受控节点开展凭据试错操作。
第二阶段为通杀阶段：接着攻击者切换至乌克兰境内IP，直接通过单枚具备root权限的SSH密钥完成全部36台服务器的登录操作，实现单密钥批量入侵，攻击行为呈现高度自动化特征。
攻击者执行的操作属于挖矿木马的典型行为：采用内核级隐蔽机制隐藏进程，常规安全查杀工具难以检测；下载恶意后门程序，篡改系统原生`df`命令（管理员查询磁盘空间的常用指令），该指令一旦被执行，后门便自动从境外服务器拉取并执行新的恶意代码，形成难以防御的动态感染机制；探测本地API接口，为后续横向渗透作准备。
核心问题：密钥"不轮换"，等于把家钥匙给全世界
病灶集中：同一把 root 密钥管理几十台、root 可直登、没上堡垒机、多因素认证、境外 IP 没拦管理口、日志留存不足 6 个月。
网警提醒：这几点务必做到
1.密钥"定期换、别通杀"：一台一套、最小权限，别让一把 root 密钥管几十台。
2.禁 root 直登 + 堡垒机 + MFA：日常运维走堡垒机、多因素认证，从源头收敛"入口"。
3.拦截境外IP访问管理端口：配置防火墙，默认禁止境外IP访问管理端口；将涉事IP列入黑名单。
4.全机查杀后门：台逐台做后门查杀和系统恢复，别只"重启了事"。
5.日志留存不少于6个月+开展威胁情报溯源：固定快照、委托专业鉴定，追踪密钥泄露源头，排查是否被用作跳板攻击其他单位。
最后叮嘱几句
挖矿木马的可怕，在于它“藏得深、删不净、查不到”，侵入后难以被及时发现，难以彻底清除与追溯。而企业最常见的失误就是“一把密钥管天下、境外IP随便进”，极易留下安全隐患。请广大企业负责人务必把“密钥治理＋堡垒机＋境外IP拦截＋日志留存”这套组合拳打齐，筑牢安全防线，别让“一把钥匙”开了一整排门。