GreenCloud 日本 SoftBank 机上冒出未知 SOCKS5，官方称已修复并补一个月

发表于 分类于
GreenCloud 日本 SoftBank 节点一台 VPS 上发现 root 权限运行的未知 SOCKS5 代理，帖子溯源到 QEMU Guest Agent 下发的命令，官方称已修复漏洞并补偿一个月，但未给出漏洞编号和受影响范围。

本文依据 NodeSeek 2026 年 11 月 2 日的事件通报帖整理，帖子里的技术细节均为楼主的发现和说法，本文没有独立复现。先说结论：这是一起值得所有 VPS 用户自查的事件，但官方回应里缺了最关键的两项——漏洞编号和受影响范围。

楼主发现了什么

按帖子的说法，楼主在自己的 GreenCloud 日本 SoftBank VPS 上发现了一个来源不明的 Python SOCKS5 代理：

  • 以 root 权限运行，监听 TCP 44031，存在外部连接和转发流量；
  • 进程伪装成 kworker/1:2H，文件位于 /var/cache/.locale-cache-ikwfzh/dbus-cache.bin；
  • 自启服务名为 systemd-locale-gen.service，描述为 System cache sync daemon，设置了开机启动和退出自动重启；
  • 楼主溯源称，10 月 25 日北京时间 20:33 左右的 QEMU Guest Agent guest-exec 记录下发了完整 shell 命令，写入代理文件并创建服务，日志中 Base64 载荷解码后与磁盘程序的 SHA-256 比对一致。

以上均是楼主在帖子里的陈述，本文没有拿到这台机器，无法独立验证每一步。

官方怎么回复

按帖子转述的官方回复：基础设施团队已审计宿主节点及虚拟化环境，已紧急加固并修复漏洞，宿主节点已重启以应用内核与虚拟化安全补丁；官方表示已补偿一个月，延长该 VPS 的下次到期日；建议用户清除进程或备份后重装。

但官方回复里没有给出的东西，同样值得注意：

  • 没有具体漏洞编号；
  • 没有说明发起账号、攻击者身份；
  • 没有说明受影响范围是一台机器、一个宿主节点，还是一批用户。

没有这三项，就没法判断这是一起针对单个用户的事件，还是一次波及面更广的基础设施问题。楼主在帖子里建议关闭 QEMU Guest Agent，这可以作为临时缓解思路，但关之前要确认自己的运维流程是否依赖它。

如果你也有 GreenCloud 日本节点，自查清单

  1. 查有没有不认识的 root 进程和监听端口，尤其是伪装成内核线程名字的进程；
  2. 查 systemd 里有没有描述含糊、路径藏在缓存目录下的自启服务；
  3. 查 QEMU Guest Agent 的 guest-exec 记录里有没有你没执行过的命令；
  4. 发现异常先备份数据，再决定清除还是重装——重装比清除更彻底，但前提是备份在手。

依据来源

未实测部分：本文没有复现该事件，技术细节和官方回复均转述自帖子，漏洞编号、攻击者和受影响范围在帖子里均未披露。