Security Center:Bonnes pratiques pour la gestion des programmes de minage de cryptomonnaies

Systèmes Linux

1. Bloquez la communication réseau malveillante.

   Après avoir découvert une activité de minage de cryptomonnaies sur un hôte, la première étape consiste à bloquer la communication réseau du cheval de Troie de minage afin de contrôler immédiatement l'impact, car une remédiation complète peut prendre du temps.

   1. Exécutez la commande suivante pour vérifier les connexions réseau actuelles du système.

      netstat -antp

      [root@ixxx poc]# netstat -antp
      Active Internet connections (servers and established)
      Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
      tcp        0      0 0.xxx:xxx               0.0.0.0:*               LISTEN      1399/sshd
      tcp        0      0 12xxx:xxx               0.0.0.0:*               LISTEN      1121/master
      tcp        0      0 127.0.0.xxx:xxx         0.0.0.0:*               LISTEN      8847/node
      tcp        0      0 0.0.xxx:xxx             0.0.0.0:*               LISTEN       572/rpcbind
      tcp        0      0 127.xxx:xxx             12x.x.x.1:xxx           ESTABLISHED 8988/node
      tcp        0      0 17x.xxx:xxx             10x.xxx:xxx             TIME_WAIT   -
      tcp        0      0 17x.xxx:xxx             10x.xxx:xxx             TIME_WAIT   -
      tcp        0      0 127.xxx:xxx             12x.xxx:xxx             ESTABLISHED 8847/node
      tcp        0      0 127.xxx:xxx             127.x.x.x              ESTABLISHED 8761/sshd: root@not
      tcp        0      0 17x.xxx:xxx             10x.xxx:xxx             ESTABLISHED 17704/AliHips
      tcp        0      0 17x.xxx:xxx             18x.xxx:xxx             ESTABLISHED 16901/logrotate
      tcp        0      0 1xx.xxx:xxx             12x.xxx:xxx             ESTABLISHED 8761/sshd: root@not
      tcp        0      0 1xx.xxx:xxx             100.xxx:xxx             TIME_WAIT   -
      tcp        0      0 1xx.xxx:xxx3            10x.xxx:xxx             ESTABLISHED 1506/AliYunDun
      tcp        0      0 17x.xxx:xxx22           14x.xxx:xxx             ESTABLISHED 8761/sshd: root@not
      tcp6       0      0 :::xxx                  :::*                    LISTEN      1121/master
      tcp6       0      0 :::xxx                  :::*                    LISTEN       572/rpcbind

   2. Dans les commandes suivantes, remplacez C&C address par une adresse distante suspecte (Foreign Address) qui n'est pas utilisée par vos opérations métier normales. Ensuite, exécutez les commandes pour ajouter des règles de pare-feu afin de bloquer toutes les connexions réseau entre le serveur et l'adresse suspecte.

      iptables -A INPUT -s C&C address -j DROP
      iptables -A OUTPUT -d C&C address -j DROP

2. Effacez les tâches planifiées.

   Les chevaux de Troie de minage de cryptomonnaies utilisent souvent des tâches planifiées pour télécharger périodiquement (mettre à jour) et démarrer le cheval de Troie. Nettoyer simplement le processus et le fichier du cheval de Troie ne suffit pas à éradiquer le programme et peut entraîner des réinfections récurrentes.

   Examinez les fichiers de tâches planifiées suivants et supprimez toutes les tâches liées au téléchargement ou au démarrage du cheval de Troie de minage de cryptomonnaies.

   • Affichez les tâches planifiées pour l'utilisateur actuel ou un utilisateur spécifié (username).

     crontab -l
     crontab -u username -l

   • Tous les fichiers de tâches planifiées sur l'hôte.

     /etc/crontab
     /var/spool/cron/
     /etc/anacrontab
     /etc/cron.d/
     /etc/cron.hourly/
     /etc/cron.daily/
     /etc/cron.weekly/
     /etc/cron.monthly/

3. Effacez les services de démarrage automatique.

   1. Exécutez la commande suivante pour examiner tous les services de démarrage automatique sur le système.

      systemctl list-unit-files | grep enabled

   2. Trouvez le fichier unitaire du service suspect et vérifiez ses détails.

      Remplacez * par le nom du service et <service_unit_name> par le nom du fichier unitaire du service.

      ls -al /etc/systemd/system/*.service
      ls -al /usr/lib/systemd/system/*.service
      
      # View service details (the process file started by the service)
      cat /etc/systemd/system/<service_unit_name>.service

   3. Si vous trouvez un service de démarrage automatique malveillant, utilisez les commandes suivantes pour désactiver le service et supprimer son fichier unitaire.

      Remplacez <service name> par le nom du service et <service_unit_name> par le nom du fichier unitaire du service.

      systemctl disable <service name>
      rm /etc/systemd/system/<service_unit_name>.service
      rm /usr/lib/systemd/system/<service_unit_name>.service

   4. Examinez les chemins de service suivants pour les services de démarrage automatique et nettoyez-les en suivant les étapes ci-dessus.

      /etc/rc.local
      /etc/inittab
      /etc/rc.d/
      /etc/init.d/

4. Effacez les clés publiques SSH.

   Les chevaux de Troie de minage de cryptomonnaies ajoutent souvent la clé publique SSH de l'attaquant au fichier ~/.ssh/authorized_keys. Cela permet à l'attaquant de se connecter à l'hôte compromis sans mot de passe et de réinstaller des fichiers malveillants. Examinez le fichier ~/.ssh/authorized_keys et supprimez immédiatement toutes les clés publiques suspectes.

5. Effacez le détournement .so.

   Les fichiers .so préchargés, définis via le fichier /etc/ld.so.preload, peuvent détourner des commandes système courantes telles que top, ps et netstat pour masquer le processus de minage de cryptomonnaies.

   1. Exécutez la commande suivante pour examiner les fichiers .so préchargés.

      cat /etc/ld.so.preload

   2. Exécutez la commande suivante pour supprimer le détournement de préchargement.

      echo > /etc/ld.so.preload

6. Effacez les comptes malveillants.

   Certaines familles de chevaux de Troie de minage de cryptomonnaies créent de nouveaux comptes backdoor pour maintenir un contrôle à long terme sur l'hôte compromis. Exécutez les commandes suivantes pour vérifier la présence de comptes malveillants, puis supprimez manuellement les informations de compte pertinentes.

   • Vérifiez les journaux pour détecter les activités récentes de création de compte.

     cat /var/log/audit/audit.log | grep useradd
     # Or
     cat /var/log/secure | grep 'new user'

   • Vérifiez la présence de comptes suspects dans le fichier /etc/passwd.

     cut -d: -f1 /etc/passwd

   • Vérifiez la date de création ou la dernière activité du répertoire home d'un compte. Portez une attention particulière aux répertoires home récemment créés.

     stat /home/guest/

7. Contrez les techniques anti-modification.

   Après avoir écrit des fichiers de persistance tels que des tâches planifiées et des services de démarrage automatique, certains chevaux de Troie de minage de cryptomonnaies définissent un attribut immutable sur le fichier pour empêcher la suppression du mécanisme de persistance.

   [root@iZxxx poc]# rm /etc/cron.hourly/logrotate
   rm: remove regular file '/etc/cron.hourly/logrotate'? y
   rm: cannot remove '/etc/cron.hourly/logrotate': Operation not permitted
   [root@iZxxx poc]# echo "" > /etc/cron.hourly/logrotate
   bash: /etc/cron.hourly/logrotate: Permission denied
   [root@iZxxx poc]# lsattr /etc/cron.hourly/logrotate
   ----i---------e-- /etc/cron.hourly/logrotate

   Si vous rencontrez cette situation, exécutez la commande suivante pour restaurer les attributs du fichier avant de supprimer la tâche correspondante.

   chattr -i /etc/passwd
   chattr -i /etc/crontab

8. Arrêtez le processus du cheval de Troie de minage de cryptomonnaies.

   1. Les processus de minage de cryptomonnaies consomment généralement beaucoup de ressources CPU. Vous pouvez utiliser les commandes suivantes pour examiner les processus suspects de minage de cryptomonnaies.

      • Examinez les processus consommant une grande partie du CPU de l'hôte.

        top -c

        Notez la valeur 99.4 us dans la ligne %Cpu(s) (indiquant l'utilisation du CPU en espace utilisateur) et le processus /root/.config/logrotate consommant 395,0 % du CPU dans la liste des processus.

        top – 11:42:28 up 5 days,  1:30,  0 users,  load average: 2.71, 0.84, 0.32
        Tasks: 114 total,    1 running, 110 sleeping,   3 stopped,   0 zombie
        %Cpu(s): 99.4 us,  0.6 sy,  0.0 ni,  0.0 id,  0.0 wa,  0.0 hi,  0.0 si,  0.0 st
        KiB Mem :  7732792 total,  5724224 free,   562256 used,  1446312 buff/cache
        KiB Swap:        0 total,        0 free,        0 used.  6911024 avail Mem
        
          PID USER      PR  NI    VIRT    RES    SHR S  %CPU %MEM     TIME+ COMMAND
        16901 root      20   0  320776   3220   2308 S 395.0  0.0   2:31.13 /root/.config/logrotate

        ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more

        [root@ixxx z poc]# ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more
          PID  PPID CMD                         %CPU
        16901     1 /root/.config/logrotate      208
         8988  8847 /root/.vscode-server/bin/2d  3.9

      • Examinez les comportements de connexion réseau anormaux.

        netstat -antp

        La sortie montre que le processus 16901/logrotate possède une connexion réseau ESTABLISHED anormale, ce qui constitue un comportement suspect.

        [root@iZbp113etj2f09g5ci8fukZ poc]# netstat -antp
        Active Internet connections (servers and established)
        Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
        tcp        0      0 0.xxx.xxx.xx            xxx.xxx.xxx             LISTEN      1399/sshd
        tcp        0      0 12x.x.x.xxx             0.x.x.x                 LISTEN      1121/master
        tcp        0      0 1xx.x.x.xxx             xxx.xxx.xxx             LISTEN      8847/node
        tcp        0      0 0.xxx.xxx               x.x.x.x                 LISTEN      572/rpcbind
        tcp        0      0 12x.xxx.x.xxxxx         127.0.0.1.xxxxx         ESTABLISHED 8988/node
        tcp        0      0 17x.xx.xxx.xxx.xxxxx    xxx                     TIME_WAIT   -
        tcp        0      0 17x.xx                  xxx.xxx                 TIME_WAIT   -
        tcp        0      0 1xx.x.0.1.xxxxx         xxx.xxx                 ESTABLISHED 8847/node
        tcp        0      0 12x.x.x.xxx             xxx                     ESTABLISHED 8761/sshd: root@not
        tcp        0      0 1x.xxx.xxx.xxxxx        xxx.xxx.xxx.xxx         ESTABLISHED 17704/AliHips
        tcp        0      0 172.xx.xxx.x:1200       xxx.xxx.x.xxx:xxx       ESTABLISHED 16901/logrotate
        tcp        0      0 12x.x.x.xxx:x           12x.xxx                 ESTABLISHED 8761/sshd: root@not
        tcp        0      0 17x.xx.xxx.xxxxx        xxx.xxx.xx.xxx.xx       TIME_WAIT   -
        tcp        0      0 17x.xx.xxx              xxx.xxx                 ESTABLISHED 1506/AliYunDun
        tcp        0      0 1xx.xx                  xxx                     ESTABLISHED 8761/sshd: root@not
        tcp6       0      0 :xxx                    xxx                     LISTEN      1121/master
        tcp6       0      0 :::xxx                  xxx                     LISTEN      572/rpcbind

      • Obtenez le chemin du fichier du processus suspect.

        ls -al /proc/$PID/exe

      • Calculez le hachage MD5 du fichier de processus et recherchez-le sur la plateforme Alibaba Cloud Threat Intelligence.

        md5sum /proc/$PID/exe

        La page des résultats de la requête affiche les informations suivantes :

        • Niveau de risque du fichier (par exemple, Medium) et activité récente.

        • Détails du fichier, y compris le nom du fichier, l'environnement d'exécution et l'heure de première découverte.

        • Valeurs de hachage, y compris MD5, SHA1 et SHA256.

        • Tags de menace (par exemple, Cryptomining).

   2. Exécutez les commandes suivantes pour arrêter le processus de minage de cryptomonnaies et nettoyer le fichier du cheval de Troie.

      kill -9 $PID
      # Delete the process path obtained from ls -al /proc/$PID/exe
      rm /path/to/executable

Systèmes Linux (cas spécifiques de minage de cryptomonnaies)

# Restore modified commands
crondir='/var/spool/cron/'"$USER"
mv /bin/ps.original /bin/ps
mv /bin/top.original /bin/top
mv /bin/pstree.original /bin/pstree

# Restore editing permissions for scheduled task files
chattr -R -ia /var/spool/cron
chattr -ia /etc/crontab
chattr -R -ia /var/spool/cron/crontabs
chattr -R -ia /etc/cron.d

# Delete suspicious scheduled tasks and payloads
sed -i '/upat.sh/d' /etc/crontab
rm -rf /etc/cron.d/httpd2
rm -rf /etc/upat.sh
rm -rf /tmp/upat.sh
rm -rf /etc/httpd2
rm -rf /tmp/httpd2

# Delete suspicious public keys
sed -i '/cKtXBjj******hVI0K7b/d' ~/.ssh/authorized_keys
sed -i '/cKtXBjj******hVI0K7b/d' /root/.ssh/authorized_keys

Systèmes Windows

1. Dans PowerShell, exécutez la commande suivante pour rechercher les processus de minage de cryptomonnaie suspects en fonction de l'utilisation du CPU.

   Remarque

    ps | sort -des cpu
    While(1) {ps | sort -des cpu | select -f 15 | ft -a; sleep 1; cls}

2. Exécutez la commande suivante pour afficher le chemin de l'exécutable et les arguments de ligne de commande du processus de minage.

   Remarque

   wmic process where processid=xxx get processid,executablepath,commandline,name     // xxx is the process PID

3. Arrêtez le processus de minage et nettoyez le fichier Trojan.

4. Exécutez la commande suivante pour vérifier les connexions sur les ports réseau suspects.

   Remarque

   netstat -ano | findstr xxx            // xxx is the suspicious network port

5. Exécutez la commande suivante pour vérifier si le fichier hosts du serveur contient l'adresse du pool de minage du programme de minage.

   Remarque

   type  C:\Windows\System32\drivers\etc\hosts

6. Exécutez la commande suivante pour vérifier les tâches planifiées définies par le programme de minage.

   Remarque

   schtasks /query