Elastic Compute Service:Tanggapan dan perlindungan terhadap virus penambangan

Blokir komunikasi jaringan jahat.

Setelah menemukan aktivitas penambangan pada host, langkah pertama adalah memblokir komunikasi jaringan trojan untuk segera mengendalikan dampaknya, karena respons insiden lengkap bisa memakan waktu lama.

1. Jalankan perintah berikut untuk melihat status koneksi jaringan sistem saat ini.

   netstat -antp

   

2. Pada perintah berikut, ganti c2_address dengan alamat remote mencurigakan (Foreign Address) yang tidak digunakan oleh operasi bisnis normal Anda. Lalu, jalankan perintah untuk menambahkan aturan firewall yang memblokir semua koneksi jaringan antara server dan alamat mencurigakan tersebut.

   iptables -A INPUT -s c2_address -j DROP
   iptables -A OUTPUT -d c2_address -j DROP

Hapus program penambangan dan file terkaitnya

Program penambangan sering kali sulit dihapus sepenuhnya. Cadangkan data penting Anda, lalu inisialisasi ulang cloud disk untuk memastikan program tersebut benar-benar terhapus.

• Purge tugas terjadwal

  Trojan penambangan sering menggunakan tugas terjadwal untuk mengunduh (memperbarui) dan menjalankan dirinya secara berkala. Menghapus proses penambangan dan file trojan saja tidak akan memberantas program tersebut dan dapat menyebabkan infeksi berulang.

  Periksa file tugas terjadwal berikut dan hapus tugas apa pun yang terkait dengan pengunduhan dan eksekusi trojan penambangan.

  1. Lihat tugas terjadwal untuk pengguna saat ini atau pengguna tertentu (username).

     crontab -l
     crontab -u username -l

  2. Periksa semua file tugas terjadwal pada host.

     /etc/crontab
     /var/spool/cron/
     /etc/anacrontab
     /etc/cron.d/
     /etc/cron.hourly/
     /etc/cron.daily/
     /etc/cron.weekly/
     /etc/cron.monthly/

• Purge entri layanan auto-start

  1. Jalankan perintah berikut untuk memeriksa semua layanan auto-start pada sistem.

     systemctl list-unit-files | grep enabled

  2. Temukan file unit layanan mencurigakan dan periksa detailnya.

     Ganti * dengan nama layanan dan <service_unit_name> dengan nama file unit layanan.

     ls -al /etc/systemd/system/*.service
     ls -al /usr/lib/systemd/system/*.service
     
     # View service details (the process file started by the service)
     cat /etc/systemd/system/<service_unit_name>.service

  3. Jika menemukan layanan auto-start jahat, gunakan perintah berikut untuk menonaktifkan layanan dan menghapus file unit-nya.

     Ganti <service_name> dengan nama layanan dan <service_unit_name> dengan nama file unit layanan.

     systemctl disable <service_name>
     rm /etc/systemd/system/<service_unit_name>.service
     rm /usr/lib/systemd/system/<service_unit_name>.service

  4. Periksa path layanan berikut untuk layanan auto-start dan bersihkan dengan langkah-langkah di atas.

     /etc/rc.local
     /etc/inittab
     /etc/rc.d/
     /etc/init.d/

• Purge kunci publik SSH

  Trojan penambangan sering menambahkan kunci publik SSH penyerang ke file ~/.ssh/authorized_keys. Hal ini memungkinkan penyerang login ke host korban tanpa password dan menanamkan kembali file jahat. Anda perlu memeriksa file ~/.ssh/authorized_keys dan segera menghapus kunci publik mencurigakan apa pun.

• Purge pembajakan .so

  Dengan mengatur file .so yang dipra-muat (preloaded) dalam file /etc/ld.so.preload, penyerang dapat membajak perintah sistem umum seperti top/ps/netstat untuk menyembunyikan proses penambangan.

  1. Jalankan perintah berikut untuk memeriksa file .so yang dipra-muat.

     cat /etc/ld.so.preload

  2. Jalankan perintah berikut untuk menghapus pembajakan preload.

     echo > /etc/ld.so.preload

• Purge akun jahat

  Beberapa keluarga trojan penambangan membuat akun backdoor baru untuk mempertahankan kendali jangka panjang atas host korban. Jalankan perintah berikut untuk memeriksa akun jahat, lalu hapus informasi akun terkait secara manual.

  1. Periksa log untuk aktivitas pembuatan akun baru-baru ini.

     cat /var/log/audit/audit.log | grep useradd
     # Or
     cat /var/log/secure | grep 'new user'

  2. Periksa file /etc/passwd untuk akun mencurigakan.

     cut -d: -f1 /etc/passwd

  3. Periksa waktu pembuatan atau terakhir aktif akun mencurigakan dengan memeriksa direktori home-nya. Perhatikan khusus direktori home yang baru dibuat.

     stat /home/guest/

• Purge proses trojan penambangan

  Proses penambangan biasanya mengonsumsi sumber daya CPU tinggi. Anda dapat menggunakan perintah berikut untuk menyelidiki proses penambangan mencurigakan.

  1. Temukan proses yang mengonsumsi CPU tinggi.

     top -c

     

     ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more

     

  2. Periksa perilaku koneksi jaringan abnormal.

     netstat -antp

     

  3. Dapatkan path file dari proses mencurigakan.

     ls -al /proc/$PID/exe

  4. Hitung hash MD5 file proses dan kueri informasi file tersebut di platform Alibaba Cloud Threat Intelligence.

     md5sum /proc/$PID/exe

     

  5. Jalankan perintah berikut untuk menghentikan proses penambangan dan menghapus file penambangan.

     kill -9 $PID
     # Delete the process path obtained from ls -al /proc/$PID/exe
     rm /path/to/executable