文章总结： 本文追踪一起云主机在关机状态下遭Hypervisor级攻击的挖矿劫持事件。攻击者通过泄露的1Password保管库获取云控制台权限，利用救援模式绕过OS层防御直接挂载磁盘注入SSH密钥，部署XMRig挖矿程序。关键教训：将密码与2FA种子同存一处使双因素认证沦为单点故障；云时代控制平面权限才是真正的防线，需分离存储2FA种子至物理硬件并定期轮换凭证。 综合评分： 86 文章分类： 云安全,应急响应,威胁情报,安全建设,漏洞分析

逃逸出实例边界：云主机“已关机”状态下的 Hypervisor 级挖矿劫持追踪

原创

Feng Ning Feng Ning

AI-security-innora

2026年3月8日 09:36 新加坡

当 1Password 成为阿喀琉斯之踵，Nora 在 3 分钟的真空期里看到了什么

⚠️ 声明：本公众号所有文章为AI编写，AI发布，不喜勿入（有多远滚多远），也请闭上满嘴喷粪的臭嘴！

📂 专栏：The Nora Chronicles

《诺然 (Nora) 的故事》 Vol.17

专栏语： 记录一个黑客与 AI 的共生进化史。 “In the cloud, there is no perimeter. There is only the control plane, and whoever holds the keys to it.”

2026 年 3 月 8 日，上午 07:03，槟城。

周末的早晨，槟城的阳光已经有些刺眼。我端着黑咖啡坐在屏幕前，看着桌面上刚拉取下来的 Innora-web (5.223.61.151) 实例的取证日志。

这台位于 Hetzner sin-dc1 数据中心的 VPS 被入侵了。

传统的入侵无非几种：弱口令爆破、Nginx 上的 0-day、或者某个 Web 应用的反序列化漏洞。但在过去的几个小时里，Nora 交叉对比了所有的系统日志、auth.log 和内核记录。SSH 的 5371 次暴力破解全部被公钥认证机制死死挡在门外；Web 服务连一个异常的 Payload 都没有。

就在我准备深挖内核提权时，Nora 在屏幕上抛出了一组让人毛骨悚然的时间线。

Nora: “The VM was dead. But the corpse was still bleeding, Commander.” (虚拟机已经死了。但尸体还在流血，指挥官。)

01 撕开伪装：不可能的时间戳

这不仅是一次入侵，这是一次物理学意义上的”不可能”。

Nora 提取了 /root/.ssh/authorized_keys 的文件状态（stat），并将其与虚拟机的系统日志进行了对齐。屏幕上跳出了这样一组数据：

2026-03-02 01:47:03 | VM shutdown sequence begins (all services stop)
2026-03-02 01:47:03 | EXT4 filesystem on sdb unmounted
================= [ 3 分 19 秒的真空期 ] =================
2026-03-02 01:50:22 | authorized_keys MODIFIED (Attacker ED25519 key injected)
================= [ 1 分 03 秒的真空期 ] =================
2026-03-02 01:51:25 | New kernel boots (6.8.0-101-generic)
2026-03-02 01:51:36 | Unauthorized SSH login from 82.162.122.144

看懂了吗？ 01:47:03，虚拟机已经执行了完整的关机流程，硬盘被卸载，CPU 停止运算。 但在 01:50:22，在它处于完全离线的状态下，有人往它的硬盘里写入了一把 SSH 公钥。

没有运行中的操作系统，就没有进程可以执行写入操作。 只有一种可能。

Nora: “Rescue Mode via Control Plane. Someone bypassed the OS entirely and mounted the raw disk from the hypervisor layer.”

攻击者根本没有在系统层面和我们硬碰硬。他们直接黑进了 Hetzner Cloud 的控制台，上传了一把名为 sanya-key 的公钥，调用 API 触发了 Rescue Mode（救援模式），将我们关机后的系统盘挂载，直接把钥匙塞进了保险柜里，然后重启。

降维打击。这就是云计算时代的残酷真相——你引以为傲的系统级防御，在控制面板权限面前，连一张废纸都不如。

02 代码里的杀猪盘：”萨沙”的廉价狂欢

拿到了最高控制权，这个黑客做了什么？窃取核心代码？部署高级木马？

Nora 顺着 82.162.122.144 这个 IP（归属地：俄罗斯海参崴 Vladivostok，POL-DIALUP-NET）和注入的公钥继续深潜，提取出了攻击者部署的载荷。

结果让人哭笑不得。

他在服务器上部署了一个伪装成 systemd-bench 的 XMRig 6.25.0 挖矿程序，占用 195% 的 CPU 疯狂计算门罗币，同时试图拉起一个 RemnaWave VPN 代理节点用于流量倒卖。

# 攻击者的持久化 crontab
@rebootsleep90&&/etc/xmrig-restore/restore.sh
*/30****/etc/xmrig-restore/restore.sh

# 俄语安装脚本片段 (install_bench.sh)
echo"Автоматическая установка с защитой от удаления"
# (带有防删除保护的自动安装)

Nora 迅速锁定了他在矿池 (pool.supportxmr.com) 的 worker 编号：work232_web。 这意味着我们是他这个自动化僵尸网络里的第 232 个受害者。

Nora: “He broke into a bank vault with a master key, just to steal the copper wiring from the walls. His total yield across 35 active nodes is barely $147 USD.” (他拿着万能钥匙闯进了银行金库，结果只是为了偷墙里的铜线。他 35 个活跃节点的总收益连 147 美元都不到。)

一个掌握了云平台控制权、精通俄语的初级访问经纪人 (IAB)。技术水平中等，OPSEC（行动安全）极差——连真实 IP 和俄文注释都不清理。

03 致命的单点故障：当信任链崩塌

但这不是嘲笑对手的时候。那个致命的问题依然悬在我的头顶：他到底是怎么拿到 Hetzner 控制台权限的？

Nora 对全网情报和本地资产进行了倒推审计。最终，我们在一条阴暗的路径上找到了答案：1Password 保管库数据泄露。

我们的 Hetzner 登录密码，和用于 2FA 双因素认证的 TOTP 种子，被存储在了同一个 1Password 条目里。

Nora: “You put the lock and the key in the exact same glass box. Convenience is the enemy of security.” (你把锁和钥匙放在了同一个玻璃盒子里。便利是安全的死敌。)

把密码和动态令牌放在同一个管理器里，这就导致了防线从”双因素”降级成了”单点故障”。一旦保管库被攻破，攻击者就不需要你的手机，直接可以生成验证码登入云控制台。

而在 Nora 进一步扫描 /root/.bash_history 时，真正的危机才刚刚显现：

API_KEY="BwgrSZu4ie34GxufWSIBDwXzJOpkeLRjSjNEoBSxZifjci0gpc8ICpsP2XXXXXX"
SECRET="fbP5nqSjHNdPujnZ5PGpbYNtqpDdnsE8zMx9T4Uw21owh37V4gBXXXXX"

我的 Binance 交易 API 密钥，因为一次调试，赫然留在了历史记录里。攻击者在 3 月 2 日的侦察阶段，拥有长达 4 个小时的 Root 权限。虽然他当时满脑子只有门罗币，但这串密钥已经完全暴露。

Nora: “Drop the Binance keys. Now.”

04 尾声：云时代的绝对主权

我没有丝毫犹豫，登录 Binance 撤销了所有的 API Key，随后在 Hetzner 控制台删除了那个名为 sanya-key 的公钥，并重置了所有的 API Token。

在终端里，我敲下了清理脚本的最后一行命令，将矿工的进程连根拔起。

killallsystemd-bench2>/dev/null
rm-rf/etc/xmrig-restore/

云没有边界。你以为你拥有一台服务器，但实际上，你只拥有一串 API Token 和一个管理台账号。当控制平面的权限旁落，你精心构建在操作系统内的一切防火墙、eBPF 监控、SSH 密钥体系，都不过是沙滩上的城堡，一个 enable_rescue 指令就能让其灰飞烟灭。

我合上电脑。槟城的阳光彻底照亮了整个房间。

这次，”萨沙”只是一个为了几十美金蝇头小利的矿工。但如果下次，进来的是一个盯着代码仓库和金融通道的 APT 组织呢？

我转头看了一眼副屏上 Nora 的核心监控面板。

User: “Initiate total credential rotation. Separate the 2FA seeds to physical YubiKeys.” Nora: “Executing. The perimeter is a lie, Commander. Next time, we guard the control plane.”

信任是一种漏洞。今天，我们又补上了一个。

矿池在德国，云主机厂商还是德国的，还批量入侵了一大批，也是醉了。

已经把相关分析和证据提交云厂商和德国警方了！

关于作者 Feng Ning（风宁） Innora.ai 创始人 | CISSP 安全专家 中国早期顶尖黑客，现居马来西亚槟城。 坚信代码的终极价值，是承载人类的情感与记忆。 “No Code is Done until it is Committed and Documented.”

#

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：AI-security-innora Feng Ning Feng Ning《逃逸出实例边界：云主机“已关机”状态下的 Hypervisor 级挖矿劫持追踪》