Réponse et protection contre les virus de minage - Elastic Compute Service

Dans un environnement cloud, les virus de minage consomment malicieusement des ressources telles que le processeur, ce qui ralentit les instances, augmente leur temps de réponse ou les rend inaccessibles via des connexions à distance. Cela peut entraîner des interruptions d'activité, des fuites de données et la propagation des risques. Contenez rapidement les dommages et empêchez une réinfection en utilisant Security Center ou en mettant en œuvre des stratégies manuelles de réponse et de protection, comme la réinitialisation des mots de passe ou des clés et le blocage des adresses IP.

Alertes liées aux virus de minage

Pour les instances avec le renforcement gratuit de la sécurité activé, Security Center envoie une alerte par SMS ou par e-mail lorsqu'un programme de minage est détecté. Accédez à la page Alertes de sécurité pour vérifier la présence d'alertes concernant un programme de minage.

Dans la liste Security Alerts, les alertes relatives aux programmes de minage et aux chevaux de Troie s'affichent avec un niveau de gravité Critical rouge. Cliquez sur Handle ou Details à droite de l'alerte correspondante pour prendre des mesures.

Remarque

Un programme de minage maintient une utilisation élevée et soutenue du processeur. Par conséquent, une instance qui ralentit, répond lentement ou est inaccessible via une connexion à distance constitue souvent le premier signe d'une infection. Si vous remarquez une charge processeur anormalement élevée lors du dépannage de problèmes de connexion à distance, consultez cette rubrique pour enquêter et remédier au problème.

Important

Si votre serveur est arrêté pour la première fois en raison d'un virus de minage, accédez à la page Événements de contrôle de sécurité pour le déverrouiller vous-même.

Après avoir déverrouillé le serveur, purgez immédiatement le programme de minage. Si une activité de minage est à nouveau détectée, le serveur sera arrêté et verrouillé, et vous ne pourrez plus le déverrouiller vous-même.

Répondre et supprimer les virus de minage

Isoler le serveur infecté

Isolez une instance ECS infectée en modifiant ses règles de groupe de sécurité afin de restreindre l'accès au réseau public et via SSH.

Connectez-vous à la console ECS et accédez à la page Groupes de sécurité.
Recherchez le groupe de sécurité auquel appartient l'instance ECS cible et cliquez sur son ID pour accéder à sa page de gestion.
Sur la page des règles du groupe de sécurité, identifiez toutes les règles entrantes autorisant l'accès public, notamment celles concernant les ports RDP et SSH. Modifiez la source de ces règles pour n'autoriser l'accès qu'à partir d'adresses IP spécifiques et fiables.

Remarque
La modification d'une règle de groupe de sécurité affecte toutes les instances ECS associées à ce groupe. Assurez-vous que vos modifications n'affectent pas involontairement d'autres instances.

Purger le programme malveillant

Les programmes de minage sont souvent difficiles à supprimer complètement. Nous vous recommandons de sauvegarder vos données importantes, puis de réinitialiser le disque cloud afin de garantir la suppression totale du programme.

Security Center

Prérequis

Pour gérer les menaces liées aux virus de minage à l'aide de Security Center, vous devez acheter Security Center dans les éditions Anti-virus, Advanced, Enterprise ou Ultimate. Vous pouvez également activer un essai gratuit de 7 jours de l'édition Enterprise pour obtenir les capacités de sécurité requises.
Assurez-vous que l'agent Security Center sur le serveur infecté est en ligne. Pour plus d'informations, consultez Installer l'agent et Dépanner un agent hors ligne.

Étape 1 : confinement immédiat

Utilisez la fonctionnalité Security Alerts de Security Center pour arrêter rapidement le programme de minage en terminant les processus malveillants et en mettant en quarantaine les fichiers virus.

Connectez-vous à la console Security Center.
Dans le volet de navigation de gauche, sélectionnez Detection and Response > AlertThreat Analysis and Response > Security Alerts. Dans le coin supérieur gauche de la console, sélectionnez la région de vos ressources.
Dans la colonne Actions de l'alerte de minage, cliquez sur Details pour afficher les détails de l'alerte.

Utilisez les informations de base, la description de l'événement et la fonctionnalité sur la console Security Center pour localiser le programme de minage et vérifier la présence d'autres alertes ou fichiers suspects. Déterminez si le fichier ayant déclenché l'alerte de minage est un fichier métier légitime ou un fichier malveillant. Si le programme de minage est associé à d'autres événements d'alerte, tels que la communication avec un pool de minage ou l'accès à des noms de domaine malveillants, nous vous recommandons de les traiter conjointement.
Cliquez sur Process Alert. Dans la boîte de dialogue qui s'affiche, sélectionnez Virus Detection and Removal et cliquez sur Handle.

Pour traiter plusieurs alertes du même type ou déclenchées par la même règle, sélectionnez Process similar alerts at the same time .
Dans la liste des alertes de sécurité, effectuez l'opération Block sur les autres alertes dérivées générées par l'événement de cryptominage, telles que celles concernant le comportement de communication avec le pool de minage.

Security Center génère des politiques pour bloquer l'accès du serveur au pool de minage. Cela vous laisse suffisamment de temps pour gérer l'événement de sécurité. Vous pouvez également ajouter manuellement les adresses IP du pool de minage à un groupe de sécurité pour bloquer l'accès. Pour savoir comment ajouter une règle de groupe de sécurité, consultez Ajouter une règle de groupe de sécurité.
Dans la liste des alertes de sécurité, vérifiez les alertes d'anomalie de comportement des processus afin de trouver et de traiter toute tâche planifiée anormale.

Étape 2 : analyse approfondie

Utilisez la fonctionnalité Détection et suppression des virus de Security Center pour analyser vos ressources. Cette fonctionnalité permet de rechercher et de nettoyer les mécanismes de persistance des logiciels malveillants, tels que les éléments de démarrage automatique et les tâches planifiées.

Connectez-vous à la console Security Center.
Dans le volet de navigation de gauche, sélectionnez Protection Configuration > Host Protection > Virus Detection and Removal. Dans le coin supérieur gauche de la console, sélectionnez la région de vos ressources.
Sur la page Virus Detection and Removal, cliquez sur Scan Now ou Rescan. Dans le panneau Scan Settings , définissez le mode d'analyse et l'étendue de l'analyse, puis cliquez sur OK.

Définissez Scan Mode sur Quick Scan et, pour l'Scan Scope , sélectionnez le serveur attaqué par le programme de minage.
Une fois l'analyse terminée, sur la page Virus Detection and Removal , dans la colonne Actions pour l'alerte cible, cliquez sur Process.
Dans le panneau Process Alert , sélectionnez Deep Scan et cliquez sur Next.

Une fois que le système a traité l'alerte, vous pouvez consulter les résultats et le statut.

Dans la section Fix Method , sélectionnez Automatically Create Snapshot and Fix , définissez le Snapshot Name et la Snapshot Retention Period , puis cliquez sur Next.

Détection de sécurité

Utilisez la fonctionnalité de détection sans agent de Security Center pour effectuer une analyse de sécurité complète des disques système et de données de vos instances ECS. Cette fonctionnalité prend uniquement en charge la détection et ne fournit pas de remédiation. Vous devez traiter manuellement les éléments à risque détectés en suivant les instructions de la page de détails des risques. La détection sans agent est une fonctionnalité facturée à l'utilisation. Pour plus d'informations, consultez Détection sans agent.

Détection sans agent

Connectez-vous à la console Security Center.
Dans le volet de navigation de gauche, sélectionnez Protection Configuration > Host Protection > Agentless Detection. Dans le coin supérieur gauche de la console, sélectionnez la région de vos ressources.
Sur la page Agentless Detection , dans le panneau Host Security Check , cliquez sur Detect Now.
Dans le panneau Scan Now , configurez les paramètres comme décrit dans le tableau suivant et cliquez sur OK.
- Scan Scope : Nous vous recommandons d'analyser le disque de données pour une couverture plus large de la détection des vulnérabilités et des alertes.
- Image Retention Duration :
  - La valeur peut varier de 1 à 365 jours.
  - La création de d'images est facturée. Plus vous conservez longtemps les images, plus les frais sont élevés.
    
    Important
    Si vous sélectionnez Retain Only At-risk Image , le système supprime automatiquement les images sans menace une fois l'analyse terminée.
Une fois la tâche de détection terminée, consultez les résultats concernant les vulnérabilités, les vérifications de référence, les alertes de sécurité et les fichiers sensibles.

Traitez rapidement les risques en suivant les instructions de la page de détails des risques.

Sur la page Agentless Detection > Host Security Check , la zone de synthèse affiche le nombre d'hôtes à risque, d'hôtes analysés, d'alertes de sécurité et de risques de vulnérabilité. La liste des vulnérabilités permet de filtrer par type de vulnérabilité (Linux Software Vulnerabilities , Windows System Vulnerabilities , Application Vulnerabilities ) et par niveau de gravité (High , Medium , Low ), et vous pouvez effectuer les opérations Add to Whitelist ou View sur les vulnérabilités.

Nettoyage manuel

Avant d'effectuer toute opération de nettoyage, créez un snapshot du serveur pour éviter la perte de données due à des erreurs de manipulation.

Linux

Bloquez la communication réseau malveillante.

Après avoir découvert une activité de minage sur l'hôte, la première étape consiste à bloquer la communication réseau du cheval de Troie afin de contrôler immédiatement son impact, car une réponse complète à l'incident peut prendre du temps.

Exécutez la commande suivante pour afficher l'état actuel des connexions réseau du système.

netstat -antp

[root@ixxx poc]# netstat -antp
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.xxx:xxx               0.0.0.0:*               LISTEN      1399/sshd
tcp        0      0 12xxx:xxx               0.0.0.0:*               LISTEN      1121/master
tcp        0      0 127.0.0.xxx:xxx         0.0.0.0:*               LISTEN      8847/node
tcp        0      0 0.0.xxx:xxx             0.0.0.0:*               LISTEN       572/rpcbind
tcp        0      0 127.xxx:xxx             12x.x.x.xxx:xxx         ESTABLISHED 8988/node
tcp        0      0 1xx.xxx.xxx:xxx         10x.xxx.xxx:xxx         TIME_WAIT   -
tcp        0      0 1xx.xxx.xxx:xxx         10x.xxx.xxx:xxx         TIME_WAIT   -
tcp        0      0 127.xxx:xxx             1xx.xxx.xxx:xxx         ESTABLISHED 8847/node
tcp        0      0 127.xxx:xxx             127.x.x.x:xxx           ESTABLISHED 8761/sshd: root@not
tcp        0      0 17x.xxx:xxx             10x.xxx.xxx:xxx         ESTABLISHED 17704/AliHips
tcp        0      0 17x.xxx:xxx:5           18x.xxx:xxx             ESTABLISHED 16901/logrotate
tcp        0      0 1xx.xxx:xxx             12x.xxx.xxx:xxx         ESTABLISHED 8761/sshd: root@not
tcp        0      0 1xx.xxx.xxx:xxx         100.xxx:xxx             TIME_WAIT   -
tcp        0      0 1xx.xxx:xxx:3           10x.xxx.xxx:xxx         ESTABLISHED 1506/AliYunDun
tcp        0      0 17x.xxx.xxx:22          14x.xxx.xxx:xxx         ESTABLISHED 8761/sshd: root@not
tcp6       0      0 :::xxx                  :::*                    LISTEN      1121/master
tcp6       0      0 :::xxx                  :::*                    LISTEN       572/rpcbind

Dans les commandes suivantes, remplacez c2_address par l'adresse distante suspecte (Foreign Address) qui n'est pas utilisée par vos opérations métier normales. Ensuite, exécutez les commandes pour ajouter des règles de pare-feu qui bloquent toutes les connexions réseau entre le serveur et l'adresse suspecte.
```
iptables -A INPUT -s c2_address -j DROP
iptables -A OUTPUT -d c2_address -j DROP
```

Supprimez le programme de minage et ses fichiers associés

Les programmes de minage sont souvent difficiles à supprimer complètement. Sauvegardez vos données importantes, puis réinitialisez le disque cloud afin de garantir la suppression totale du programme.
- Purger les tâches planifiées
  Les chevaux de Troie de minage utilisent souvent des tâches planifiées pour télécharger (mettre à jour) et exécuter périodiquement leurs propres fichiers. La simple suppression du processus de minage et des fichiers du cheval de Troie n'éradiquera pas le programme et pourrait entraîner des réinfections récurrentes.
  
  Examinez les fichiers de tâches planifiées suivants et supprimez toutes les tâches liées au téléchargement et à l'exécution du cheval de Troie de minage.
  1. Affichez les tâches planifiées pour l'utilisateur actuel ou un utilisateur spécifié (username ).
    
    crontab -l crontab -u username -l
  2. Vérifiez tous les fichiers de tâches planifiées sur l'hôte.
    
    /etc/crontab /var/spool/cron/ /etc/anacrontab /etc/cron.d/ /etc/cron.hourly/ /etc/cron.daily/ /etc/cron.weekly/ /etc/cron.monthly/
- Purger les entrées de service au démarrage automatique
  1. Exécutez la commande suivante pour vérifier tous les services au démarrage automatique sur le système.
    
    systemctl list-unit-files | grep enabled
  2. Trouvez le fichier unit du service suspect et vérifiez ses détails.
    
    Remplacez * par le nom du service et <service_unit_name> par le nom du fichier unit du service.
    
    ls -al /etc/systemd/system/*.service ls -al /usr/lib/systemd/system/*.service # View service details (the process file started by the service) cat /etc/systemd/system/<service_unit_name>.service
  3. Si vous trouvez un service de démarrage automatique malveillant, utilisez les commandes suivantes pour désactiver le service et supprimer son fichier unit.
    
    Remplacez <service_name> par le nom du service et <service_unit_name> par le nom du fichier unit du service.
    
    systemctl disable <service_name> rm /etc/systemd/system/<service_unit_name>.service rm /usr/lib/systemd/system/<service_unit_name>.service
  4. Vérifiez les chemins de service suivants pour les services au démarrage automatique et nettoyez-les en suivant les étapes ci-dessus.
    
    /etc/rc.local /etc/inittab /etc/rc.d/ /etc/init.d/
- Purger les clés publiques SSH
  
  Les chevaux de Troie de minage ajoutent souvent la clé publique SSH d'un attaquant au fichier ~/.ssh/authorized_keys . Cela permet à l'attaquant de se connecter à l'hôte de la victime sans mot de passe et de réimplanter des fichiers malveillants. Vous devez vérifier le fichier ~/.ssh/authorized_keys et supprimer immédiatement toutes les clés publiques suspectes.
- Purger le détournement .so
  En définissant des fichiers .so préchargés dans le fichier /etc/ld.so.preload , les attaquants peuvent détourner des commandes système courantes comme top/ps/netstat pour masquer le processus de minage.
  1. Exécutez la commande suivante pour vérifier les fichiers .so préchargés.
    
    cat /etc/ld.so.preload
  2. Exécutez la commande suivante pour supprimer le détournement par préchargement.
    
    echo > /etc/ld.so.preload
- Purger les comptes malveillants
  Certaines familles de chevaux de Troie de minage créent un nouveau compte backdoor pour maintenir un contrôle à long terme sur l'hôte de la victime. Exécutez les commandes suivantes pour vérifier la présence de comptes malveillants, puis supprimez manuellement les informations de compte concernées.
  1. Vérifiez les journaux pour détecter les activités récentes de création de compte.
    
    cat /var/log/audit/audit.log | grep useradd # Or cat /var/log/secure | grep 'new user'
  2. Vérifiez la présence de comptes suspects dans le fichier /etc/passwd .
    
    cut -d: -f1 /etc/passwd
  3. Vérifiez la date de création ou la dernière activité d'un compte suspect en examinant son répertoire home . Portez une attention particulière aux répertoires home créés récemment.
    
    stat /home/guest/
- Purger le processus du cheval de Troie de minage
  Les processus de minage consomment généralement beaucoup de ressources processeur. Utilisez les commandes suivantes pour enquêter sur les processus de minage suspects.
  1. Recherchez les processus qui consomment beaucoup de processeur.
    
    top -c
    
    top – 11:42:28 up 5 days, 1:30, 0 users, load average: 2.71, 0.84, 0.32 Tasks: 114 total, 1 running, 110 sleeping, 3 stopped, 0 zombie %Cpu(s): 99.4 us, 0.6 sy, 0.0 ni, 0.0 id, 0.0 wa, 0.0 hi, 0.0 si, 0.0 st KiB Mem : 7732792 total, 5724224 free, 562256 used, 1446312 buff/cache KiB Swap: 0 total, 0 free, 0 used. 6911024 avail Mem PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND 16901 root 20 0 320776 3220 2308 S 395.0 0.0 2:31.13 /root/.config/logrotate
    
    ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more
    
    [root@ixxx poc]# ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more PID PPID CMD %CPU 16901 1 /root/.config/logrotate 208 8988 8847 /root/.vscode-server/bin/2d 3.9
  2. Vérifiez les comportements de connexion réseau anormaux.
    
    netstat -antp
    
    Après avoir exécuté cette commande, il a été constaté que le processus logrotate (PID 16901) avait établi une connexion réseau externe ESTABLISHED (port local 1200), indiquant un comportement de backdoor suspect. Sortie complète :
    
    [root@iZbp113etj2f09g5ci8fukZ poc]# netstat -antp Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 0.xxx.xxx.xx xxx.xxx.xx LISTEN 1399/sshd tcp 0 0 12x.x.x.x.xx x.x.xxx LISTEN 1121/master tcp 0 0 1xx.x.x.x.xx xxx.xxx.xxx LISTEN 8847/node tcp 0 0 0.xxx.xxx x.x.x.x LISTEN 572/rpcbind tcp 0 0 12x.xxx.xxx.xxxxx 127.0.0.1.xxxxx ESTABLISHED 8988/node tcp 0 0 17x.xx.xxx.xxx.xxxxx xxx.xxx.xxx TIME_WAIT - tcp 0 0 17x.xx.xxx xxx.xxx.xxx TIME_WAIT - tcp 0 0 1xx.x.x.1.xxxxx xxx.xxx.xxx ESTABLISHED 8847/node tcp 0 0 12x.x.x.x.xx xxx.xxx.xxx ESTABLISHED 8761/sshd: root@not tcp 0 0 1x.xxx.xxx.xxx.xxxxx xxx.xxx.xxx.xxx ESTABLISHED 17704/AliHips tcp 0 0 172.xx.xxx.xx:1200 xxx.xxx.x.xxx:xxxx ESTABLISHED 16901/logrotate tcp 0 0 12x.x.x.x.xxxxx 12x.xxx ESTABLISHED 8761/sshd: root@not tcp 0 0 17x.xx.xxx.xxxxx xxx.xxx.xx.xxx.xx TIME_WAIT - tcp 0 0 17x.xx.xxx xxx.xxx.xxx ESTABLISHED 1506/AliYunDun tcp 0 0 17x.xx.xxx xxx.xxx.xxx ESTABLISHED 8761/sshd: root@not tcp6 0 0 :::xxx :::* LISTEN 1121/master tcp6 0 0 :::xxx :::* LISTEN 572/rpcbind
  3. Obtenez le chemin du fichier du processus suspect.
    
    ls -al /proc/$PID/exe
  4. Calculez le hachage MD5 du fichier de processus et interrogez les informations sur le fichier sur la plateforme Alibaba Cloud Threat Intelligence .
    
    md5sum /proc/$PID/exe
    
    La page des résultats de la requête indique que le fichier présente un niveau de risque Medium avec une étiquette de menace Mining , et affiche les informations de hachage MD5, SHA1, SHA256 du fichier, ainsi que la date de première détection et l'activité récente.
  5. Exécutez les commandes suivantes pour terminer le processus de minage et supprimer le fichier de minage.
    
    kill -9 $PID # Delete the process path obtained from ls -al /proc/$PID/exe rm /path/to/executable

Windows

Dans PowerShell, exécutez les commandes suivantes pour identifier les processus de minage suspects en fonction de l'utilisation du processeur.
```
 ps | sort -des cpu
 While(1) {ps | sort -des cpu | select -f 15 | ft -a; sleep 1; cls}
```
Exécutez la commande suivante pour afficher le chemin du fichier du processus de minage et les paramètres de sa commande de démarrage.
```
wmic process where processid=xxx get processid,executablepath,commandline,name     // xxx indicates the process PID
```
Terminez le processus de minage et supprimez les fichiers de minage.
Exécutez la commande suivante pour vérifier la présence de ports réseau suspects sur l'hôte.
```
netstat -ano | findstr xxx            // xxx indicates the suspicious network port
```
Exécutez la commande suivante pour vérifier si le fichier hosts contient des adresses de pool de minage utilisées par le programme de minage.
```
type  C:\Windows\System32\drivers\etc\hosts
```
Exécutez la commande suivante pour vérifier les tâches planifiées configurées par le programme de minage.
```
schtasks /query
```

Recommandations

Après le nettoyage, suivez ces recommandations pour éviter une réinfection :

Réinitialisez les mots de passe et les clés : les mots de passe ou les clés de l'instance ont pu être compromis. Modifiez rapidement tous les mots de passe utilisateur et les clés SSH pour éviter une réinfection. Si vous utilisez un mot de passe comme identifiant de connexion, évitez d'utiliser un mot de passe faible.
Corrigez les vulnérabilités : appliquez des correctifs aux vulnérabilités connues et mettez régulièrement à jour la sécurité du système d'exploitation et des applications telles que Redis et Jenkins.
Sauvegardez les données : créez régulièrement des snapshots des données importantes et des configurations système afin de permettre une restauration rapide après un incident.

Documents connexes

Bonnes pratiques pour se défendre contre les programmes de minage : Le module IPS de Cloud Firewall utilise l'intelligence sur les vulnérabilités et le correctif virtuel pour suivre et se défendre contre les exploits réseau de la plupart des vers de minage, bloquant ainsi la propagation des virus.

FAQ

Comment résoudre l'erreur « Operation not permitted » ?

Après avoir écrit des fichiers de persistance tels que des tâches planifiées et des éléments de démarrage automatique, certains virus de minage définissent un attribut immutable (immutable ) sur ces fichiers pour empêcher leur suppression.

[root@iZxxx poc]# rm /etc/cron.hourly/logrotate
rm: remove regular file '/etc/cron.hourly/logrotate'? y
rm: cannot remove '/etc/cron.hourly/logrotate': Operation not permitted
[root@iZxxx poc]# echo "" > /etc/cron.hourly/logrotate
bash: /etc/cron.hourly/logrotate: Permission denied
[root@iZxxx poc]# lsattr /etc/cron.hourly/logrotate
----i---------e-- /etc/cron.hourly/logrotate

Exécutez la commande chattr -i [filename] pour supprimer l'attribut, puis supprimez le fichier.

Pourquoi le programme de minage réapparaît-il ?

Cela se produit généralement parce que seul le programme virus principal a été supprimé, tandis que ses mécanismes de persistance (comme une tâche planifiée ou un service de démarrage automatique) n'ont pas été retirés. Le virus utilise ces portes dérobées pour se retélécharger et s'exécuter à nouveau, ce qui entraîne sa réapparition. Veillez à suivre les étapes de la section Purger le programme malveillant pour examiner minutieusement toutes les méthodes de persistance.