Security Center:Praktik terbaik untuk menangani program cryptomining

Sistem Linux

1. Blokir komunikasi jaringan berbahaya.

   Setelah menemukan aktivitas cryptomining pada host, langkah pertama adalah memblokir komunikasi jaringan Trojan cryptomining untuk segera mengendalikan dampaknya, karena remediasi penuh bisa memakan waktu lama.

   1. Jalankan perintah berikut untuk memeriksa koneksi jaringan sistem saat ini.

      netstat -antp

      

   2. Dalam perintah berikut, ganti C&C address dengan alamat remote mencurigakan (Foreign Address) yang tidak digunakan oleh operasi bisnis normal Anda. Lalu, jalankan perintah untuk menambahkan aturan firewall guna memblokir semua koneksi jaringan antara server dan alamat mencurigakan tersebut.

      iptables -A INPUT -s C&C address -j DROP
      iptables -A OUTPUT -d C&C address -j DROP

2. Bersihkan tugas terjadwal.

   Trojan cryptomining sering menggunakan tugas terjadwal untuk mengunduh (memperbarui) dan memulai Trojan secara periodik. Membersihkan proses dan file Trojan saja tidak cukup untuk memberantas program tersebut dan dapat menyebabkan infeksi berulang.

   Investigasi file tugas terjadwal berikut dan hapus tugas apa pun yang terkait dengan pengunduhan atau pemulaian Trojan cryptomining.

   • Lihat tugas terjadwal untuk pengguna saat ini atau pengguna tertentu (username).

     crontab -l
     crontab -u username -l

   • Semua file tugas terjadwal pada host.

     /etc/crontab
     /var/spool/cron/
     /etc/anacrontab
     /etc/cron.d/
     /etc/cron.hourly/
     /etc/cron.daily/
     /etc/cron.weekly/
     /etc/cron.monthly/

3. Bersihkan layanan startup otomatis.

   1. Jalankan perintah berikut untuk menginvestigasi semua layanan auto-startup pada sistem.

      systemctl list-unit-files | grep enabled

   2. Temukan file unit untuk layanan mencurigakan dan periksa detailnya.

      Ganti * dengan nama layanan dan <service_unit_name> dengan nama file unit layanan.

      ls -al /etc/systemd/system/*.service
      ls -al /usr/lib/systemd/system/*.service
      
      # View service details (the process file started by the service)
      cat /etc/systemd/system/<service_unit_name>.service

   3. Jika Anda menemukan layanan auto-startup berbahaya, gunakan perintah berikut untuk menonaktifkan layanan dan menghapus file unit-nya.

      Ganti <service name> dengan nama layanan dan <service_unit_name> dengan nama file unit layanan.

      systemctl disable <service name>
      rm /etc/systemd/system/<service_unit_name>.service
      rm /usr/lib/systemd/system/<service_unit_name>.service

   4. Investigasi path layanan berikut untuk layanan auto-startup dan bersihkan menggunakan langkah-langkah di atas.

      /etc/rc.local
      /etc/inittab
      /etc/rc.d/
      /etc/init.d/

4. Bersihkan kunci publik SSH.

   Trojan cryptomining sering menambahkan kunci publik SSH penyerang ke file ~/.ssh/authorized_keys. Hal ini memungkinkan penyerang login ke host yang dikompromikan tanpa kata sandi dan menginstal ulang file berbahaya. Investigasi file ~/.ssh/authorized_keys dan segera hapus kunci publik mencurigakan apa pun.

5. Bersihkan .so hijacking.

   File .so yang dipra-muat, yang diatur melalui file /etc/ld.so.preload, dapat membajak perintah sistem umum seperti top, ps, dan netstat untuk menyembunyikan proses cryptomining.

   1. Jalankan perintah berikut untuk menginvestigasi file .so yang dipra-muat.

      cat /etc/ld.so.preload

   2. Jalankan perintah berikut untuk menghapus pembajakan pra-muat.

      echo > /etc/ld.so.preload

6. Bersihkan akun berbahaya.

   Beberapa keluarga Trojan cryptomining membuat akun backdoor baru untuk mempertahankan kendali jangka panjang atas host yang dikompromikan. Jalankan perintah berikut untuk memeriksa akun berbahaya, lalu hapus informasi akun terkait secara manual.

   • Periksa log untuk aktivitas pembuatan akun terbaru.

     cat /var/log/audit/audit.log | grep useradd
     # Or
     cat /var/log/secure | grep 'new user'

   • Periksa file /etc/passwd untuk akun mencurigakan.

     cut -d: -f1 /etc/passwd

   • Periksa waktu pembuatan atau terakhir aktif direktori home akun. Perhatikan khusus direktori home yang baru dibuat.

     stat /home/guest/

7. Lawan teknik anti-modifikasi.

   Setelah menulis file persistensi seperti tugas terjadwal dan layanan auto-startup, beberapa Trojan cryptomining mengatur atribut immutable pada file untuk mencegah mekanisme persistensi dihapus.

   

   Jika Anda menghadapi situasi ini, jalankan perintah berikut untuk mengembalikan atribut file sebelum menghapus tugas terkait.

   chattr -i /etc/passwd
   chattr -i /etc/crontab

8. Hentikan proses Trojan cryptomining.

   1. Proses cryptomining biasanya mengonsumsi sumber daya CPU tinggi. Anda dapat menggunakan perintah berikut untuk menginvestigasi proses cryptomining mencurigakan.

      • Investigasi proses yang mengonsumsi banyak CPU host.

        top -c

        

        ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more

        

      • Investigasi perilaku koneksi jaringan abnormal.

        netstat -antp

        

      • Dapatkan path file dari proses mencurigakan.

        ls -al /proc/$PID/exe

      • Hitung hash MD5 file proses dan cari di platform Threat Intelligence Alibaba Cloud.

        md5sum /proc/$PID/exe

        

   2. Jalankan perintah berikut untuk menghentikan proses cryptomining dan membersihkan file Trojan.

      kill -9 $PID
      # Delete the process path obtained from ls -al /proc/$PID/exe
      rm /path/to/executable

Sistem Linux (kasus cryptomining spesifik)

# Restore modified commands
crondir='/var/spool/cron/'"$USER"
mv /bin/ps.original /bin/ps
mv /bin/top.original /bin/top
mv /bin/pstree.original /bin/pstree

# Restore editing permissions for scheduled task files
chattr -R -ia /var/spool/cron
chattr -ia /etc/crontab
chattr -R -ia /var/spool/cron/crontabs
chattr -R -ia /etc/cron.d

# Delete suspicious scheduled tasks and payloads
sed -i '/upat.sh/d' /etc/crontab
rm -rf /etc/cron.d/httpd2
rm -rf /etc/upat.sh
rm -rf /tmp/upat.sh
rm -rf /etc/httpd2
rm -rf /tmp/httpd2

# Delete suspicious public keys
sed -i '/cKtXBjj******hVI0K7b/d' ~/.ssh/authorized_keys
sed -i '/cKtXBjj******hVI0K7b/d' /root/.ssh/authorized_keys

Sistem Windows

1. Di PowerShell, jalankan perintah berikut untuk menginvestigasi proses cryptomining mencurigakan berdasarkan penggunaan CPU.

   Catatan

    ps | sort -des cpu
    While(1) {ps | sort -des cpu | select -f 15 | ft -a; sleep 1; cls}

2. Jalankan perintah berikut untuk melihat path executable dan argumen command-line dari proses cryptomining.

   Catatan

   wmic process where processid=xxx get processid,executablepath,commandline,name     // xxx is the process PID

3. Hentikan proses cryptomining dan bersihkan file Trojan.

4. Jalankan perintah berikut untuk memeriksa koneksi pada port jaringan mencurigakan.

   Catatan

   netstat -ano | findstr xxx            // xxx is the suspicious network port

5. Jalankan perintah berikut untuk memeriksa apakah file hosts server berisi alamat mining pool dari program cryptomining.

   Catatan

   type  C:\Windows\System32\drivers\etc\hosts

6. Jalankan perintah berikut untuk memeriksa adanya tugas terjadwal yang ditetapkan oleh program cryptomining.

   Catatan

   schtasks /query