Docker Remote API 未授权访问导致挖矿病毒入侵

运维同事反映一台阿里云测试机，反映很慢，除了跑一些docker容器，没有其他服务。

ps -ef查看当前进程，发现存在多个cryptonight加密货币的挖矿进程，分别为proc, thisxxs, xmrig：

对这些进程的所在路径进行排查，使用lsof工具查看它们打开的文件：进程所使用的文件都已经找不到，初步判断是被删除。

换个思路（中间尝试过各种假设）扫描该服务器，发现开放了2375端口，说明开放了Docker swarm编排工具WEB接口服务。外网尝试通过浏览器直接访问 API ，查看容器信息，表明存在未授权访问漏洞。