Elastic Compute Service:マイニングウイルスへの対処と保護

悪意のあるネットワーク通信のブロック

ホスト上でマイニング活動を発見した後、最初のステップは、トロイの木馬のネットワーク通信をブロックして、その影響を即座に抑えることです。完全なインシデント対応には時間がかかる場合があります。

1. 次のコマンドを実行して、現在のシステムのネットワーク接続状態を表示します。

   netstat -antp

   

2. 次のコマンドで、c2_address を、通常の業務で使用されていない不審なリモートアドレス (Foreign Address) に置き換えます。次に、コマンドを実行して、サーバーと不審なアドレス間のすべてのネットワーク接続をブロックするファイアウォールルールを追加します。

   iptables -A INPUT -s c2_address -j DROP
   iptables -A OUTPUT -d c2_address -j DROP

マイニングプログラムとその関連ファイルの削除

マイニングプログラムは完全に駆除することが困難な場合が多いです。重要なデータをバックアップした後、クラウドディスクの再初期化 を行い、プログラムを完全に駆除してください。

• スケジュールされたタスクの駆除

  マイニングのトロイの木馬は、しばしばスケジュールされたタスクを使用して、自身を 定期的にダウンロード (更新) して実行 します。マイニングプロセスとトロイの木馬ファイルを削除するだけではプログラムを根絶できず、再感染につながる可能性があります。

  以下のスケジュールされたタスクファイルを調査し、マイニングのトロイの木馬のダウンロードと実行に関連するタスクを削除します。

  1. 現在のユーザーまたは指定されたユーザー (username) のスケジュールされたタスクを表示します。

     crontab -l
     crontab -u username -l

  2. ホスト上のすべてのスケジュールされたタスクファイルを確認します。

     /etc/crontab
     /var/spool/cron/
     /etc/anacrontab
     /etc/cron.d/
     /etc/cron.hourly/
     /etc/cron.daily/
     /etc/cron.weekly/
     /etc/cron.monthly/

• 自動起動サービスエントリの駆除

  1. 次のコマンドを実行して、システム上のすべての自動起動サービスを確認します。

     systemctl list-unit-files | grep enabled

  2. 不審なサービスのユニットファイルを見つけ、その詳細を確認します。

     * をサービス名に、<service_unit_name> をサービスユニットファイル名に置き換えます。

     ls -al /etc/systemd/system/*.service
     ls -al /usr/lib/systemd/system/*.service
     
     # サービスの詳細 (サービスによって開始されるプロセスファイル) を表示
     cat /etc/systemd/system/<service_unit_name>.service

  3. 悪意のある自動起動サービスを見つけた場合は、次のコマンドを使用してサービスを無効にし、そのユニットファイルを削除します。

     <service_name> をサービス名に、<service_unit_name> をサービスユニットファイル名に置き換えます。

     systemctl disable <service_name>
     rm /etc/systemd/system/<service_unit_name>.service
     rm /usr/lib/systemd/system/<service_unit_name>.service

  4. 次のサービスパスで自動起動サービスを確認し、上記の手順でクリーンアップします。

     /etc/rc.local
     /etc/inittab
     /etc/rc.d/
     /etc/init.d/

• SSH 公開鍵の駆除

  マイニングトロイの木馬は、多くの場合、攻撃者の SSH 公開鍵を ~/.ssh/authorized_keys ファイルに追加します。これにより、攻撃者はパスワードを使用せずに被害者のホストにログインし、悪意のあるファイルを再度埋め込むことができます。~/.ssh/authorized_keys ファイルを確認し、不審な公開鍵を直ちに削除する必要があります。

• .so ハイジャックの駆除

  /etc/ld.so.preload ファイルにプリロードされた .so ファイルを設定することで、攻撃者は top/ps/netstat などの一般的なシステムコマンドをハイジャックしてマイニングプロセスを隠蔽できます。

  1. 次のコマンドを実行して、プリロードされた.so ファイルを確認します。

     cat /etc/ld.so.preload

  2. 次のコマンドを実行して、プリロードハイジャックを削除します。

     echo > /etc/ld.so.preload

• 悪意のあるアカウントの駆除

  一部のマイニングのトロイの木馬ファミリーは、被害者のホストを長期的に制御するために新しい バックドアアカウント を作成します。次のコマンドを実行して悪意のあるアカウントを確認し、関連するアカウント情報を手動で削除します。

  1. 最近のアカウント作成アクティビティのログを確認します。

     cat /var/log/audit/audit.log | grep useradd
     # または
     cat /var/log/secure | grep 'new user'

  2. /etc/passwd ファイルで不審なアカウントを確認してください。

     cut -d: -f1 /etc/passwd

  3. 不審なアカウントの home ディレクトリを調べて、その作成日時または最終活動日時を確認します。最近作成された home ディレクトリには特に注意してください。

     stat /home/guest/

• マイニングのトロイの木馬プロセスの駆除

  マイニングプロセスは通常、高い CPU リソースを消費します。次のコマンドを使用して、不審なマイニングプロセスを調査できます。

  1. 高い CPU を消費しているプロセスを見つけます。

     top -c

     

     ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more

     

  2. 異常なネットワーク接続の振る舞いを確認します。

     netstat -antp

     

  3. 不審なプロセスのファイルパスを取得します。

     ls -al /proc/$PID/exe

  4. プロセスファイルの MD5 ハッシュを計算し、Alibaba Cloud 脅威インテリジェンス プラットフォームでファイル情報を照会します。

     md5sum /proc/$PID/exe

     

  5. 次のコマンドを実行して、マイニングプロセスを終了し、マイニングファイルを削除します。

     kill -9 $PID
     # ls -al /proc/$PID/exe から取得したプロセスパスを削除
     rm /path/to/executable