Security Center:クリプトマイニングプログラム対処のベストプラクティス

Linux システム

1. 悪意のあるネットワーク通信のブロック

   ホスト上でクリプトマイニングアクティビティを発見した後、最初のステップは、クリプトマイニングトロイの木馬のネットワーク通信をブロックして影響を即座に制御することです。完全な修復には時間がかかる可能性があるためです。

   1. 以下のコマンドを実行して、現在のシステムのネットワーク接続を確認します。

      netstat -antp

      [root@ixxx poc]# netstat -antp
      Active Internet connections (servers and established)
      Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
      tcp        0      0 0.xxx:xxx               0.0.0.0:*               LISTEN      1399/sshd
      tcp        0      0 12xxx:xxx               0.0.0.0:*               LISTEN      1121/master
      tcp        0      0 127.0.0.xxx:xxx         0.0.0.0:*               LISTEN      8847/node
      tcp        0      0 0.0.xxx:xxx             0.0.0.0:*               LISTEN       572/rpcbind
      tcp        0      0 127.xxx:xxx             12x.x.x.1:xxx           ESTABLISHED 8988/node
      tcp        0      0 17x.xxx:xxx             10x.xxx:xxx             TIME_WAIT   -
      tcp        0      0 17x.xxx:xxx             10x.xxx:xxx             TIME_WAIT   -
      tcp        0      0 127.xxx:xxx             12x.xxx:xxx             ESTABLISHED 8847/node
      tcp        0      0 127.xxx:xxx             127.x.x.x              ESTABLISHED 8761/sshd: root@not
      tcp        0      0 17x.xxx:xxx             10x.xxx:xxx             ESTABLISHED 17704/AliHips
      tcp        0      0 17x.xxx:xxx             18x.xxx:xxx             ESTABLISHED 16901/logrotate
      tcp        0      0 1xx.xxx:xxx             12x.xxx:xxx             ESTABLISHED 8761/sshd: root@not
      tcp        0      0 1xx.xxx:xxx             100.xxx:xxx             TIME_WAIT   -
      tcp        0      0 1xx.xxx:xxx3            10x.xxx:xxx             ESTABLISHED 1506/AliYunDun
      tcp        0      0 17x.xxx:xxx22           14x.xxx:xxx             ESTABLISHED 8761/sshd: root@not
      tcp6       0      0 :::xxx                  :::*                    LISTEN      1121/master
      tcp6       0      0 :::xxx                  :::*                    LISTEN       572/rpcbind

   2. 次のコマンドでは、C&C アドレス を、通常の業務で使用されていない不審なリモートアドレス (Foreign Address) に置き換えます。次に、コマンドを実行してファイアウォールルールを追加し、サーバーと不審なアドレス間のすべてのネットワーク接続をブロックします。

      iptables -A INPUT -s C&C address -j DROP
      iptables -A OUTPUT -d C&C address -j DROP

2. 定期タスクのクリア

   クリプトマイニングトロイの木馬は、定期タスクを使用してトロイの木馬を 定期的にダウンロード (更新) および起動 することがよくあります。プロセスとトロイの木馬ファイルをクリーンアップするだけでは、プログラムを根絶するには不十分であり、再感染につながる可能性があります。

   以下の定期タスクファイルを調査し、クリプトマイニングトロイの木馬のダウンロードまたは起動に関連するタスクを削除します。

   • 現在のユーザーまたは指定されたユーザー (username) のスケジュールされたタスクを表示します。

     crontab -l
     crontab -u username -l

   • ホスト上のすべての定期タスクファイル。

     /etc/crontab
     /var/spool/cron/
     /etc/anacrontab
     /etc/cron.d/
     /etc/cron.hourly/
     /etc/cron.daily/
     /etc/cron.weekly/
     /etc/cron.monthly/

3. 自動起動サービスのクリア

   1. 以下のコマンドを実行して、システム上のすべての自動起動サービスを調査します。

      systemctl list-unit-files | grep enabled

   2. 不審なサービスのユニットファイルを見つけて、その詳細を確認します。

      * をサービス名に、<service_unit_name> をサービスユニットファイル名に置き換えます。

      ls -al /etc/systemd/system/*.service
      ls -al /usr/lib/systemd/system/*.service
      
      # サービスの詳細を表示 (サービスによって起動されるプロセスファイル)
      cat /etc/systemd/system/<service_unit_name>.service

   3. 悪意のある自動起動サービスが見つかった場合は、以下のコマンドを使用してサービスを無効化し、そのユニットファイルを削除します。

      <service name> をサービス名に置き換え、<service_unit_name> をサービスユニットファイル名に置き換えます。

      systemctl disable <service name>
      rm /etc/systemd/system/<service_unit_name>.service
      rm /usr/lib/systemd/system/<service_unit_name>.service

   4. 以下のサービスパスで自動起動サービスを調査し、上記の手順を使用してクリーンアップします。

      /etc/rc.local
      /etc/inittab
      /etc/rc.d/
      /etc/init.d/

4. SSH 公開鍵のクリア

   クリプトマイニングトロイの木馬は、攻撃者の SSH 公開鍵を ~/.ssh/authorized_keys ファイルに追加することがよくあります。これにより、攻撃者はパスワードなしで侵害されたホストにログインし、悪意のあるファイルを再インストールできます。~/.ssh/authorized_keys ファイルを調査し、不審な公開鍵を直ちに削除します。

5. .so ハイジャックのクリア

   /etc/ld.so.preload ファイルを介して設定されたプリロードされた .so ファイルは、top、ps、netstat などの一般的なシステムコマンドをハイジャックして、クリプトマイニングプロセスを隠蔽することがあります。

   1. 以下のコマンドを実行して、プリロードされた .so ファイルを調査します。

      cat /etc/ld.so.preload

   2. 以下のコマンドを実行して、プリロードハイジャックを削除します。

      echo > /etc/ld.so.preload

6. 悪意のあるアカウントのクリア

   一部のクリプトマイニングトロイの木馬ファミリーは、侵害されたホストを長期的に制御するために新しい バックドアアカウント を作成します。以下のコマンドを実行して悪意のあるアカウントを確認し、関連するアカウント情報を手動で削除します。

   • 最近のアカウント作成アクティビティのログを確認します。

     cat /var/log/audit/audit.log | grep useradd
     # または
     cat /var/log/secure | grep 'new user'

   • /etc/passwd ファイルで不審なアカウントを確認します。

     cut -d: -f1 /etc/passwd

   • アカウントの home ディレクトリの作成時刻または最終アクティブ時刻を確認します。最近作成された home ディレクトリに特に注意してください。

     stat /home/guest/

7. 改変防止技術への対抗

   定期タスクや自動起動サービスなどの永続化ファイルを書き込んだ後、一部のクリプトマイニングトロイの木馬はファイルに 不変 属性を設定して、永続化メカニズムが削除されないようにします。

   [root@iZxxx poc]# rm /etc/cron.hourly/logrotate
   rm: remove regular file '/etc/cron.hourly/logrotate'? y
   rm: cannot remove '/etc/cron.hourly/logrotate': Operation not permitted
   [root@iZxxx poc]# echo "" > /etc/cron.hourly/logrotate
   bash: /etc/cron.hourly/logrotate: Permission denied
   [root@iZxxx poc]# lsattr /etc/cron.hourly/logrotate
   ----i---------e-- /etc/cron.hourly/logrotate

   この状況に遭遇した場合は、以下のコマンドを実行してファイル属性を復元してから、該当するタスクを削除します。

   chattr -i /etc/passwd
   chattr -i /etc/crontab

8. クリプトマイニングトロイの木馬プロセスの終了

   1. クリプトマイニングプロセスは通常、多くの CPU リソースを消費します。以下のコマンドを使用して、不審なクリプトマイニングプロセスを調査できます。

      • ホストの CPU を大量に消費しているプロセスを調査します。

        top -c

        %Cpu(s) 行の 99.4 us 値 (ユーザー空間 CPU 使用率を示す) と、プロセスリストで 395.0% の CPU を消費している /root/.config/logrotate プロセスに注目してください。

        top – 11:42:28 up 5 days,  1:30,  0 users,  load average: 2.71, 0.84, 0.32
        Tasks: 114 total,    1 running, 110 sleeping,   3 stopped,   0 zombie
        %Cpu(s): 99.4 us,  0.6 sy,  0.0 ni,  0.0 id,  0.0 wa,  0.0 hi,  0.0 si,  0.0 st
        KiB Mem :  7732792 total,  5724224 free,   562256 used,  1446312 buff/cache
        KiB Swap:        0 total,        0 free,        0 used.  6911024 avail Mem
        
          PID USER      PR  NI    VIRT    RES    SHR S  %CPU %MEM     TIME+ COMMAND
        16901 root      20   0  320776   3220   2308 S 395.0  0.0   2:31.13 /root/.config/logrotate

        ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more

        [root@ixxx z poc]# ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more
          PID  PPID CMD                         %CPU
        16901     1 /root/.config/logrotate      208
         8988  8847 /root/.vscode-server/bin/2d  3.9

      • 異常なネットワーク接続の動作を調査します。

        netstat -antp

        出力は、16901/logrotate プロセスに異常な ESTABLISHED ネットワーク接続があることを示しており、これは不審な動作です。

        [root@iZbp113etj2f09g5ci8fukZ poc]# netstat -antp
        Active Internet connections (servers and established)
        Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
        tcp        0      0 0.xxx.xxx.xx            xxx.xxx.xxx             LISTEN      1399/sshd
        tcp        0      0 12x.x.x.xxx             0.x.x.x                 LISTEN      1121/master
        tcp        0      0 1xx.x.x.xxx             xxx.xxx.xxx             LISTEN      8847/node
        tcp        0      0 0.xxx.xxx               x.x.x.x                 LISTEN      572/rpcbind
        tcp        0      0 12x.xxx.x.xxxxx         127.0.0.1.xxxxx         ESTABLISHED 8988/node
        tcp        0      0 17x.xx.xxx.xxx.xxxxx    xxx                     TIME_WAIT   -
        tcp        0      0 17x.xx                  xxx.xxx                 TIME_WAIT   -
        tcp        0      0 1xx.x.0.1.xxxxx         xxx.xxx                 ESTABLISHED 8847/node
        tcp        0      0 12x.x.x.xxx             xxx                     ESTABLISHED 8761/sshd: root@not
        tcp        0      0 1x.xxx.xxx.xxxxx        xxx.xxx.xxx.xxx         ESTABLISHED 17704/AliHips
        tcp        0      0 172.xx.xxx.x:1200       xxx.xxx.x.xxx:xxx       ESTABLISHED 16901/logrotate
        tcp        0      0 12x.x.x.xxx:x           12x.xxx                 ESTABLISHED 8761/sshd: root@not
        tcp        0      0 17x.xx.xxx.xxxxx        xxx.xxx.xx.xxx.xx       TIME_WAIT   -
        tcp        0      0 17x.xx.xxx              xxx.xxx                 ESTABLISHED 1506/AliYunDun
        tcp        0      0 1xx.xx                  xxx                     ESTABLISHED 8761/sshd: root@not
        tcp6       0      0 :xxx                    xxx                     LISTEN      1121/master
        tcp6       0      0 :::xxx                  xxx                     LISTEN      572/rpcbind

      • 不審なプロセスのファイルパスを取得します。

        ls -al /proc/$PID/exe

      • プロセスファイルの MD5 ハッシュを計算し、Alibaba Cloud 脅威インテリジェンスプラットフォームで検索します。

        md5sum /proc/$PID/exe

        検索結果ページには、以下の情報が表示されます：

        • ファイルのリスクレベル (例: [中]) と最近のアクティビティ。

        • ファイル名、ランタイム環境、初回発見時刻を含むファイルの詳細。

        • MD5、SHA1、SHA256 を含むハッシュ値。

        • 脅威タグ (例: [クリプトマイニング])。

   2. 以下のコマンドを実行して、クリプトマイニングプロセスを終了し、トロイの木馬ファイルを削除します。

      kill -9 $PID
      # ls -al /proc/$PID/exe から取得したプロセスパスを削除
      rm /path/to/executable

Linux システム (特定のクリプトマイニングケース)

# 変更されたコマンドを復元
crondir='/var/spool/cron/'"$USER"
mv /bin/ps.original /bin/ps
mv /bin/top.original /bin/top
mv /bin/pstree.original /bin/pstree

# 定期タスクファイルの編集権限を復元
chattr -R -ia /var/spool/cron
chattr -ia /etc/crontab
chattr -R -ia /var/spool/cron/crontabs
chattr -R -ia /etc/cron.d

# 不審な定期タスクとペイロードを削除
sed -i '/upat.sh/d' /etc/crontab
rm -rf /etc/cron.d/httpd2
rm -rf /etc/upat.sh
rm -rf /tmp/upat.sh
rm -rf /etc/httpd2
rm -rf /tmp/httpd2

# 不審な公開鍵を削除
sed -i '/cKtXBjj******hVI0K7b/d' ~/.ssh/authorized_keys
sed -i '/cKtXBjj******hVI0K7b/d' /root/.ssh/authorized_keys

Windows システム

1. PowerShell で以下のコマンドを実行して、CPU 使用率に基づいて不審なクリプトマイニングプロセスを調査します。

   説明

    ps | sort -des cpu
    While(1) {ps | sort -des cpu | select -f 15 | ft -a; sleep 1; cls}

2. 以下のコマンドを実行して、クリプトマイニングプロセスの実行可能ファイルパスとコマンドライン引数を表示します。

   説明

   wmic process where processid=xxx get processid,executablepath,commandline,name     // xxx はプロセス PID

3. クリプトマイニングプロセスを終了し、トロイの木馬ファイルを削除します。

4. 以下のコマンドを実行して、不審なネットワークポートへの接続を確認します。

   説明

   netstat -ano | findstr xxx            // xxx は不審なネットワークポート

5. 以下のコマンドを実行して、サーバーの hosts ファイルにクリプトマイニングプログラムのマイニングプールアドレスが含まれているか確認します。

   説明

   type C:\Windows\System32\drivers\etc\hosts

6. 以下のコマンドを実行して、クリプトマイニングプログラムによって設定された定期タスクがあるか確認します。

   説明

   schtasks /query