事件概況

近期多名 Linux 服務器管理員反饋：服務器 Root 密碼被盜、被植入木馬、甚至被完全控制。經排查，兇手是從非官方站點下載的 Putty 中文版 與 WinSCP 漢化版，這些版本被植入惡意代碼，會竊取 SSH/SFTP 登錄憑證並上傳至攻擊者控制的服務器。

受影響軟件與風險站點

軟件	官方站點	風險站點（勿訪問/下載）
Putty	www.putty.org	putty.org.cn、putty.ws
WinSCP	winscp.net（已內建官方中文）	winscp.cc

上述三個風險站點界面幾乎相同，使用相同流量統計代碼，疑為同一團伙運營。

中招徵兆（Linux 服務器端）

• 進程 .osyslog 或 .fsyslog 佔用 CPU 100%~1000%（O/F 可能為隨機字符）。
• 異常網絡連接指向 98.126.55.226:82（疑似 C2 服務器）。
• 服務器大量外發數據流量。
• /var/log 日誌目錄被刪除。
• /etc/init.d/sshd 被篡改（植入後門）。

自查命令

# 檢查典型後門文件
ls -la /etc/.fsyslog /lib/.fsyslog 2>/dev/null
# 檢查可疑進程
ps aux | grep -E '\.osyslog|\.fsyslog'
# 檢查異常連接
netstat -antp | grep 98.126.55.226

應急處置建議

1. 立即修改所有 SSH 憑證： Root 密鑰、用戶密碼、sudo 密碼。
2. 變更 SSH 端口： 修改 /etc/ssh/sshd_config 中 Port 為非 22 高位端口，重啟 sshd，暫時阻斷自動化攻擊。
3. 全盤查殺： 使用 ClamAV、Rkhunter、Chkrootkit 掃描；必要時重裝系統。
4. 卸載盜版工具： 所有管理工作站卸載非官方 Putty/WinSCP，改用官方版本。
5. 檢查授權鍵： ~/.ssh/authorized_keys 是否被植入陌生公鑰。

最佳實踐：永遠從官方渠道獲取工具

• Putty：https://www.putty.org/（無官方中文版，英文版即可）。
• WinSCP：https://winscp.net/（安裝時可選中文語言包）。
• 驗證簽名/哈希：下載後校驗 SHA256，對比官方發布頁面。
• 企業環境建議：建立內部軟件倉庫，禁止員工自行下載管理工具。

結語

「免費漢化」背後可能藏著昂貴的代價。運維人員務必養成「只信官網、驗證哈希、定期換鑰」的安全習慣，將供應鏈攻擊風險降至最低。