Debian 9 /etc/hosts 文件自动更改

Question

我新安装了一个 PostFix 服务器，用于向我的 Debian 9 VPS 发送电子邮件。并测试了电子邮件和成功。但我检查了/etc/hosts 文件，它列出了未知的域名，其中一些是tor 域名。如果我关闭文件并重新打开它，它将更改列表。我什至无法编辑/etc/hosts 文件。我尝试使用nano 和vi 编辑文件，但它说即使在sudo 和root 用户下也不允许操作。

以下是部分内容：

0.0.0.0     thyrsi.com
0.0.0.0     Rainbow66.f3322.net
0.0.0.0     an7kmd2wp4xo7hpr.tor2web.su
0.0.0.0     rapid7cpfqnwxodo.onion.in.net
0.0.0.0     intelbagjop7nzm5.onion.in.net
0.0.0.0     w.21-3n.xyz
0.0.0.0     img.sobot.com
0.0.0.0     intelbagjop7nzm5.onion.sh
0.0.0.0     lsdu.b-cdn.net
0.0.0.0     intelbagjop7nzm5.tor2web.io
0.0.0.0     tor2web.io
0.0.0.0     aptgetgxqs3secda.onion.in.net
0.0.0.0     rapid7cpfqnwxodo.onion.ly
0.0.0.0     pastebin.com
127.0.0.1       localhost
0.0.0.0     doh.dns.sb
0.0.0.0     aptgetgxqs3secda.onion.pet
0.0.0.0     intelbagjop7nzm5.onion.mn
0.0.0.0     an7kmd2wp4xo7hpr.onion.sh
0.0.0.0     intelbagjop7nzm5.d2web.org
0.0.0.0     rapid7cpfqnwxodo.onion.pet
0.0.0.0     aptgetgxqs3secda.onion.ly
0.0.0.0     rainbow20.eatuo.com
0.0.0.0     rapid7cpfqnwxodo.tor2web.fyi
0.0.0.0     dns.rubyfish.cn
0.0.0.0     an7kmd2wp4xo7hpr.timesync.su
0.0.0.0     intelbagjop7nzm5.onion.to
127.0.1.1       debian
0.0.0.0     intelbagjop7nzm5.onion.glass
0.0.0.0     an7kmd2wp4xo7hpr.d2web.org
0.0.0.0     relay.tor2socks.in
0.0.0.0     timesync.su
0.0.0.0     dns.twnic.tw
0.0.0.0     doh.centraleu.pi-dns.com
0.0.0.0     aptgetgxqs3secda.tor2web.fyi
0.0.0.0     lsd.systemten.org
107.173.160.159     laman.website
0.0.0.0     w.3ei.xyz
0.0.0.0     gitee.com
0.0.0.0     aliyun.one
0.0.0.0     upir.ir
0.0.0.0     trumpzwlvlyrvlss.onion

关闭并重新打开后：

0.0.0.0     thyrsi.com
0.0.0.0     img.sobot.com
127.0.0.1       localhost
0.0.0.0     intelbagjop7nzm5.onion.mn
0.0.0.0     intelbagjop7nzm5.d2web.org
0.0.0.0     rapid7cpfqnwxodo.onion.pet
0.0.0.0     rapid7cpfqnwxodo.onion.ly
127.0.1.1       debian
0.0.0.0     timesync.su
0.0.0.0     upir.ir
0.0.0.0     intelbagjop7nzm5.onion.sh
0.0.0.0     rapid7cpfqnwxodo.tor2web.fyi
0.0.0.0     gitee.com
0.0.0.0     aliyun.one
0.0.0.0     Rainbow66.f3322.net
0.0.0.0     intelbagjop7nzm5.onion.in.net
0.0.0.0     pastebin.com
0.0.0.0     dns.twnic.tw
0.0.0.0     doh.centraleu.pi-dns.com
0.0.0.0     aptgetgxqs3secda.onion.in.net
0.0.0.0     aptgetgxqs3secda.onion.ly
0.0.0.0     rainbow20.eatuo.com
0.0.0.0     intelbagjop7nzm5.onion.to
0.0.0.0     an7kmd2wp4xo7hpr.d2web.org
0.0.0.0     w.21-3n.xyz
0.0.0.0     doh.dns.sb
0.0.0.0     dns.rubyfish.cn
0.0.0.0     lsd.systemten.org
0.0.0.0     trumpzwlvlyrvlss.onion
0.0.0.0     w.3ei.xyz
0.0.0.0     rapid7cpfqnwxodo.onion.in.net
0.0.0.0     an7kmd2wp4xo7hpr.onion.sh
0.0.0.0     an7kmd2wp4xo7hpr.timesync.su
0.0.0.0     relay.tor2socks.in
0.0.0.0     aptgetgxqs3secda.tor2web.fyi
107.173.160.159     laman.website
0.0.0.0     an7kmd2wp4xo7hpr.tor2web.su
0.0.0.0     lsdu.b-cdn.net
0.0.0.0     intelbagjop7nzm5.tor2web.io
0.0.0.0     tor2web.io
0.0.0.0     aptgetgxqs3secda.onion.pet
0.0.0.0     intelbagjop7nzm5.onion.glass

我不认为这是正常的。我已经用相同的 debian 9 安装了其他服务器（vps），但没有出现这个问题。

有人知道怎么回事吗？

Answer 1

根据https://s.tencent.com/research/report/948.html (translated from Chinese by Google)，这就是加密恶意软件 阻止其竞争对手正常工作的方式。链接的文章描述了一个特定的菌株，

DDG 僵尸网络主要通过扫描 SSH 服务和 Redis 服务、入侵 Linux 系统、挖取门罗币等方式获利。

腾讯安全发现DDG僵尸网络更新频繁，最近一个月一共更新了9个版本，平均每周更新2个版本（DDG/5015-DDG/5023）

...但显然您不能仅根据主机文件的内容做出准确的诊断。