はじめに
前回の記事で紹介していたWebサービスのshijimiのデータがなくなりました（泣）
どうやら，データを人質に取られたみたい．
ランサムウェアだね．SCの勉強中だからね．
（実は，最初に公開したときから約2週間後にも同様の現象がありました．そのときは，原因不明でした．）
調査
サービスはconohaのVPSを利用しています．
自分のサーバが何かのタイミングで感染したのでしょうか？
AVは未導入でした．あちゃちゃ．
mysql_dataフォルダに，謎のplease_read_me_vvvがありますね．
自分の環境では，文字化けして読めませんでしたが，参考サイトによると，
「おまえのデータ盗んでやったぜ！！返してほしければ10日以内に0.03bitcoin払いやがれ！！」
とのこと．
ちなみに，
です．最近上がってきてますからね．
原因をいくつか考えてみました．
案1
外部からMySQLをいじれたっけ？
あ～，接続許可ポートにMySQL:3306おるやん．
これはまずい．
だれでもアクセスできそうですね．
あとは，ブルートフォース攻撃で突破されたんかなぁ．
追記
上の設定で，特定のポートだけを許可すると，サーバーにアクセスが届く前に遮断されるようです．
他のポートを開放したいなっていうときに，どうしようも無くなる．
よって，「全て許可」のまま，firewall-cmdで設定するのが良さそうです．
でも，遮断したポートに外部から繋がってるぞ！？
Dockerでマストドンやってたら、遮断したはずのポートが丸見えだった件によると，dockerで開放したポートはファイアーウォールを無視するようです．
内部だけに開放するよう，127.0.0.1:3306:3306みたいにすると上手くいきました！！
案2
dockerコンテナ構築用に，データベースのenvファイルを置いているのですが，外部から見られたら一発アウトですね．
イメージファイル作ったら，破棄すべき？
root権限さえ乗っ取られなければ，大丈夫だとふんでいる．
不幸中の幸い
まだ，shijimiには新規登録者いませんでしたので，セーフです！
また，conohaの粋な計らいでSSD容量が50GB→100GBになったようです．
たぶん，サーバを再構築しないと適用されないのかな．
ちょうどいいので，一旦サーバを破壊しましょう．
当分shijimiにはアクセスできないかもです．
おわりに
セキュリティやらないとなってことで，情報処理安全確保支援士(SC)の勉強真っ只中でおきた事件でした．
お金払っちゃだめっ！ぜったい！！