Security Center:Atasi cryptomining

Sistem Linux

1. Blokir komunikasi jaringan berbahaya.

   Setelah menemukan aktivitas cryptomining pada host, langkah pertama adalah memblokir komunikasi jaringan Trojan cryptomining untuk segera mengendalikan dampaknya, karena remediasi penuh bisa memakan waktu lama.

   1. Jalankan perintah berikut untuk memeriksa koneksi jaringan sistem saat ini.

      netstat -antp

      

   2. Dalam perintah berikut, ganti C&C address dengan Foreign Address mencurigakan yang tidak digunakan oleh operasi bisnis normal Anda. Lalu, jalankan perintah untuk menambahkan aturan firewall guna memblokir semua koneksi jaringan antara server dan alamat mencurigakan tersebut.

      iptables -A INPUT -s C&C address -j DROP
      iptables -A OUTPUT -d C&C address -j DROP

2. Bersihkan tugas terjadwal.

   Trojan cryptomining sering menggunakan tugas terjadwal untuk mengunduh (memperbarui) dan menjalankan Trojan secara periodik. Membersihkan hanya proses dan file Trojan saja tidak cukup untuk memberantas program tersebut dan dapat menyebabkan infeksi berulang.

   Investigasi file tugas terjadwal berikut dan hapus tugas apa pun yang terkait dengan pengunduhan atau menjalankan Trojan cryptomining.

   • Lihat tugas terjadwal untuk pengguna saat ini atau pengguna tertentu (username).

     crontab -l
     crontab -u username -l

   • Semua file tugas terjadwal di host.

     /etc/crontab
     /var/spool/cron/
     /etc/anacrontab
     /etc/cron.d/
     /etc/cron.hourly/
     /etc/cron.daily/
     /etc/cron.weekly/
     /etc/cron.monthly/

3. Bersihkan layanan auto-startup.

   1. Jalankan perintah berikut untuk menginvestigasi semua layanan auto-startup di sistem.

      systemctl list-unit-files | grep enabled

   2. Temukan file unit untuk layanan mencurigakan dan periksa detailnya.

      Ganti * dengan nama layanan dan <service_unit_name> dengan nama file unit layanan.

      ls -al /etc/systemd/system/*.service
      ls -al /usr/lib/systemd/system/*.service
      
      # View service details (the process file started by the service)
      cat /etc/systemd/system/<service_unit_name>.service

   3. Jika Anda menemukan layanan auto-startup berbahaya, gunakan perintah berikut untuk menonaktifkan layanan tersebut dan menghapus file unit-nya.

      Ganti <service name> dengan nama layanan dan <service_unit_name> dengan nama file unit layanan.

      systemctl disable <service name>
      rm /etc/systemd/system/<service_unit_name>.service
      rm /usr/lib/systemd/system/<service_unit_name>.service

   4. Investigasi path layanan berikut untuk layanan auto-startup dan bersihkan menggunakan langkah-langkah di atas.

      /etc/rc.local
      /etc/inittab
      /etc/rc.d/
      /etc/init.d/

4. Bersihkan kunci publik SSH.

   Trojan cryptomining sering menambahkan kunci publik SSH penyerang ke file ~/.ssh/authorized_keys. Hal ini memungkinkan penyerang login ke host yang dikompromikan tanpa kata sandi dan menginstal ulang file berbahaya. Investigasi file ~/.ssh/authorized_keys dan segera hapus kunci publik mencurigakan apa pun.

5. Bersihkan pembajakan file .so.

   File .so yang dipra-muat, yang diatur melalui file /etc/ld.so.preload, dapat membajak perintah sistem umum seperti top, ps, dan netstat untuk menyembunyikan proses cryptomining.

   1. Jalankan perintah berikut untuk menginvestigasi file .so yang dipra-muat.

      cat /etc/ld.so.preload

   2. Jalankan perintah berikut untuk menghapus pembajakan pra-muat.

      echo > /etc/ld.so.preload

6. Bersihkan akun berbahaya.

   Beberapa keluarga Trojan cryptomining membuat akun backdoor baru untuk mempertahankan kendali jangka panjang atas host yang dikompromikan. Jalankan perintah berikut untuk memeriksa akun berbahaya, lalu hapus secara manual informasi akun terkait.

   • Periksa log untuk aktivitas pembuatan akun baru-baru ini.

     cat /var/log/audit/audit.log | grep useradd
     # Or
     cat /var/log/secure | grep 'new user'

   • Periksa file /etc/passwd untuk akun mencurigakan.

     cut -d: -f1 /etc/passwd

   • Periksa waktu pembuatan atau terakhir aktif direktori home suatu akun. Perhatikan khusus direktori home yang baru dibuat.

     stat /home/guest/

7. Lawan teknik anti-modifikasi.

   Setelah menulis file persistensi seperti tugas terjadwal dan layanan auto-startup, beberapa Trojan cryptomining mengatur atribut immutable pada file tersebut untuk mencegah mekanisme persistensi dihapus.

   

   Jika Anda menghadapi situasi ini, seperti yang ditunjukkan pada gambar di atas, jalankan perintah berikut untuk menghapus atribut immutable sebelum menghapus file atau tugas tersebut.

   chattr -i /etc/passwd
   chattr -i /etc/crontab

8. Hentikan proses Trojan cryptomining.

   1. Proses cryptomining biasanya mengonsumsi sumber daya CPU tinggi. Anda dapat menggunakan perintah berikut untuk menginvestigasi proses cryptomining mencurigakan.

      • Investigasi proses yang mengonsumsi banyak CPU host.

        top -c

        

        ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more

        

      • Investigasi perilaku koneksi jaringan abnormal.

        netstat -antp

        

      • Dapatkan path file dari proses mencurigakan.

        ls -al /proc/$PID/exe

      • Hitung hash MD5 file proses dan cari di platform Intelijen Ancaman Alibaba Cloud.

        md5sum /proc/$PID/exe

        

   2. Jalankan perintah berikut untuk menghentikan proses cryptomining dan membersihkan file Trojan.

      kill -9 $PID
      # Delete the process path obtained from ls -al /proc/$PID/exe
      rm /path/to/executable

Linux (kasus khusus)

# Restore modified commands
crondir='/var/spool/cron/'"$USER"
mv /bin/ps.original /bin/ps
mv /bin/top.original /bin/top
mv /bin/pstree.original /bin/pstree

# Restore editing permissions for scheduled task files
chattr -R -ia /var/spool/cron
chattr -ia /etc/crontab
chattr -R -ia /var/spool/cron/crontabs
chattr -R -ia /etc/cron.d

# Delete suspicious scheduled tasks and payloads
sed -i '/upat.sh/d' /etc/crontab
rm -rf /etc/cron.d/httpd2
rm -rf /etc/upat.sh
rm -rf /tmp/upat.sh
rm -rf /etc/httpd2
rm -rf /tmp/httpd2

# Delete suspicious public keys
sed -i '/cKtXBjj******hVI0K7b/d' ~/.ssh/authorized_keys
sed -i '/cKtXBjj******hVI0K7b/d' /root/.ssh/authorized_keys

Sistem Windows

1. Di PowerShell, jalankan perintah berikut untuk menginvestigasi proses cryptomining mencurigakan berdasarkan penggunaan CPU.

    ps | sort -des cpu
    While(1) {ps | sort -des cpu | select -f 15 | ft -a; sleep 1; cls}

2. Jalankan perintah berikut untuk melihat path executable dan argumen command-line dari proses cryptomining.

   wmic process where processid=xxx get processid,executablepath,commandline,name     // xxx is the process PID

3. Hentikan proses cryptomining dan bersihkan file Trojan.

4. Jalankan perintah berikut untuk memeriksa koneksi pada port jaringan mencurigakan.

   netstat -ano | findstr xxx            // xxx is the suspicious network port

5. Jalankan perintah berikut untuk memeriksa apakah file hosts server berisi alamat mining pool dari program cryptomining.

   type  C:\Windows\System32\drivers\etc\hosts

6. Jalankan perintah berikut untuk memeriksa apakah ada tugas terjadwal yang ditetapkan oleh program cryptomining.

   schtasks /query