Security Center:Détecter et supprimer les chevaux de Troie sur Linux

Contexte

Des chevaux de Troie peuvent s'implanter sur un système Linux présentant des vulnérabilités de sécurité ou dont le durcissement est insuffisant. Après leur suppression, renforcez votre posture de sécurité en appliquant des correctifs, en durcissant les autorisations système, en auditant les opérations et en analysant les journaux.

Étape 1 : Utiliser Security Center pour détecter et supprimer les chevaux de Troie

1. Utilisez les alertes de sécurité de Security Center pour supprimer rapidement les menaces liées aux chevaux de Troie. Pour plus d'informations, consultez la rubrique Afficher et gérer les alertes de sécurité.

2. Corrigez rapidement les vulnérabilités du système et renforcez sa sécurité. Pour plus d'informations, consultez la rubrique Afficher et gérer les vulnérabilités.

Étape 2 : Examiner les indicateurs de compromission

• Exécutez les commandes last et lastlog pour afficher les comptes et les heures de connexion récents, afin d'identifier les comptes suspects.

• Exécutez la commande grep -i Accepted /var/log/secure pour trouver les adresses IP associées aux connexions à distance réussies.

• Exécutez les commandes suivantes pour vérifier les tâches planifiées :

  cat /var/spool/cron/
  cat /etc/cron.hourly
  cat /etc/crontab

• Exécutez la commande find / -ctime 1 pour localiser les fichiers malveillants selon la date de leur dernière modification de statut.

• Vérifiez les fichiers /etc/passwd et /etc/shadow afin de déterminer si des utilisateurs suspects existent.

• Inspectez les répertoires /tmp, /var/tmp et /dev/shm à la recherche de fichiers malveillants. Ces répertoires disposent d'autorisations 1777 et constituent des cibles fréquentes pour le téléchargement de chevaux de Troie.

• Analysez les journaux des services exposés à Internet, tels que Tomcat et NGINX, pour détecter toute anomalie.

• Exécutez la commande service --status-all | grep running pour vérifier l'état des services en cours d'exécution et identifier les anomalies.

• Exécutez la commande chkconfig --list | grep :on pour examiner les services configurés pour un démarrage automatique et repérer les irrégularités.

• Exécutez la commande ls -lt /etc/init.d/ | head pour vérifier la présence de scripts de démarrage suspects.

Étape 3 : Commandes courantes de détection des chevaux de Troie