Deteksi dan hapus trojan pada Linux | Security Center - Security Center

Topik ini menjelaskan praktik terbaik untuk mendeteksi dan menghapus trojan pada sistem Linux.

Latar Belakang

Sistem Linux yang memiliki kerentanan keamanan atau langkah penguatan keamanan yang tidak memadai dapat menjadi sasaran penanaman trojan. Setelah trojan dihapus, tingkatkan postur keamanan sistem melalui penerapan patch keamanan, penguatan izin sistem, audit operasi, serta analisis log.

Langkah 1: Gunakan Security Center untuk mendeteksi dan menghapus trojan

Gunakan peringatan keamanan dari Security Center untuk segera menghapus ancaman trojan. Untuk informasi selengkapnya, lihat View and handle security alerts.
Segera perbaiki kerentanan sistem dan perkuat keamanannya. Untuk informasi selengkapnya, lihat View and handle vulnerabilities.

Langkah 2: Selidiki indikator kompromi

Jalankan perintah last dan lastlog untuk melihat akun yang baru saja login beserta waktu login-nya, serta mengidentifikasi akun mencurigakan.
Jalankan grep -i Accepted /var/log/secure untuk menemukan alamat IP dari login remote yang berhasil.

Jalankan perintah berikut untuk memeriksa tugas terjadwal:

cat /var/spool/cron/
cat /etc/cron.hourly
cat /etc/crontab

Jalankan find / -ctime 1 untuk menemukan file trojan berdasarkan waktu perubahan status terakhir.
Periksa /etc/passwd dan /etc/shadow untuk memverifikasi keberadaan pengguna mencurigakan.
Periksa direktori /tmp, /var/tmp, dan /dev/shm untuk mencari file trojan. Direktori-direktori ini memiliki izin 1777 dan sering menjadi target unggahan trojan.
Periksa log layanan yang menghadap internet, seperti Tomcat dan NGINX, untuk mendeteksi anomali.
Jalankan service --status-all | grep running untuk memeriksa layanan yang sedang berjalan dan mengidentifikasi anomali.
Jalankan chkconfig --list | grep :on untuk memeriksa layanan auto-start dan mengidentifikasi anomali.
Jalankan ls -lt /etc/init.d/ | head untuk memeriksa skrip startup yang mencurigakan.

Langkah 3: Perintah umum untuk deteksi trojan

Command	Description
ps, top	Lihat proses yang sedang berjalan dan penggunaan resource sistem untuk mengidentifikasi proses abnormal.
pstree	Tampilkan hubungan proses dalam format pohon.
lsof	Lihat file yang dibuka oleh proses, identifikasi proses mana yang menggunakan file atau direktori tertentu, serta periksa proses mana yang membuka Port tertentu.
netstat	Lihat semua Port yang sedang listening dan koneksi jaringan untuk mengidentifikasi alamat IP dengan koneksi berlebihan.
iftop	Monitor traffic jaringan TCP secara real-time, analisis lalu lintas inbound dan outbound dengan pengurutan, serta identifikasi alamat IP dengan traffic abnormal.
nethogs	Monitor traffic jaringan per proses yang diurutkan dari tinggi ke rendah untuk mengidentifikasi proses dengan traffic abnormal.
strace	Jejak system call yang dilakukan oleh suatu proses untuk menganalisis perilaku trojan.
strings	Output string yang dapat dicetak dari suatu file untuk analisis trojan.