Security Center:クリプトマイニングプログラムへの対処に関するベストプラクティス

危険性

• リソースの消費とパフォーマンスの低下：クリプトマイニングプログラムは、暗号資産をマイニングするための集中的な計算で CPU リソースを消費し、深刻な CPU 枯渇を引き起こします。これは、サーバー上の他のビジネスアプリケーションの正常な動作に直接影響します。

• ワームのような拡散：セキュリティ境界が突破されると、クリプトマイニングマルウェアは内部ネットワーク全体に急速に水平展開し、侵害されたサーバーに永続化メカニズムを確立して、長期的な利益を確保します。

• 除去の困難性：クリプトマイニングプログラムは協調的な保護メカニズムを採用しており、不完全なクリーンアップは再発感染につながります。xorddos などの一部の亜種は、システムコマンドを置き換えるため、通常のシステムコマンドを実行すると悪意のあるスクリプトがトリガーされ、除去がより困難になります。

識別方法

• パフォーマンスの急激な低下：サーバーの CPU 使用率が定期的または継続的に 80% を超え、ビジネスアプリケーションの応答が遅くなったり、完全に利用できなくなったりします。

• システム安定性の低下：クリプトマイニングプログラムによる高い計算負荷は、システムのクラッシュやサービスの中断につながる可能性があります。

• セキュリティアラートの受信：Security Center は、クリプトマイニングプログラム、マイニングプールとの通信、または悪意のあるドメイン名へのアクセスを検出すると、アラート通知を送信します。

対応戦略

迅速に対応してクリプトマイニングプログラムとその永続化バックドアを完全に除去し、サーバーのパフォーマンスを正常に戻し、将来の侵害を防ぐためにセキュリティ強化を実装します。

迅速な自己チェックと緊急封じ込め

アラートを受信したり、サーバーのパフォーマンスに異常を検知した場合は、次のアクションを実行して初期診断と緊急封じ込めを行います。

1. 異常なプロセスとネットワーク接続の特定

   • CPU 使用率の高いプロセスの確認：サーバーにログインし、top -c または ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more コマンドを実行して、長時間にわたって高い CPU リソースを消費している不明なプロセスを見つけます。

   • 不審なネットワーク接続の確認：ss -ntp または netstat -antp コマンドを実行して、不明なリモートアドレスへの接続、特に 3333、5555、7775 などの一般的なマイニングプールポートへの接続を確認します。

2. 緊急封じ込めの実行

   • ネットワーク分離 (推奨)：これは、脅威を封じ込めるための最も迅速で安全な方法です。直ちに ECS コンソールにログインし、サーバーのセキュリティグループルールを変更して、アウトバウンドルールをすべてのトラフィックを拒否するように設定します。信頼できる IP アドレス (オフィスのネットワークや要塞ホストの IP など) からのリモートログインポート (SSH 22 や RDP 3389 など) へのアクセスのみを許可します。このアクションにより、クリプトマイニングプログラムとマイニングプール間の通信が即座に遮断されます。

   • 悪意のあるプロセスの終了：特定された悪意のあるプロセスに対して、kill -9 <PID> コマンドを実行して終了させます。これは一時的な措置であることに注意してください。永続化メカニズムが除去されない限り、プロセスは再起動する可能性があります。

クリーンアップの実行

状況に応じて、次のいずれかのクリーンアップ方法を選択します。

# 変更されたコマンドを復元します
crondir='/var/spool/cron/'"$USER"
mv /bin/ps.original /bin/ps
mv /bin/top.original /bin/top
mv /bin/pstree.original /bin/pstree

# スケジュールタスクファイルの編集権限を復元します
chattr -R -ia /var/spool/cron
chattr -ia /etc/crontab
chattr -R -ia /var/spool/cron/crontabs
chattr -R -ia /etc/cron.d

# 不審なスケジュールタスクとペイロードを削除します
sed -i '/upat.sh/d' /etc/crontab
rm -rf /etc/cron.d/httpd2
rm -rf /etc/upat.sh
rm -rf /tmp/upat.sh
rm -rf /etc/httpd2
rm -rf /tmp/httpd2

# 不審な公開鍵を削除します
sed -i '/cKtXBjj******hVI0K7b/d' ~/.ssh/authorized_keys
sed -i '/cKtXBjj******hVI0K7b/d' /root/.ssh/authorized_keys

Verify the remediation

After cleanup, you must verify the results and harden the system to ensure security and prevent reinfection.

1. Scan again: Use the Antivirus or Agentless Detection feature in Security Center to perform a full scan of the server and confirm there are no alerts.

2. Monitor performance: Continuously monitor the server's CPU utilization to confirm it has returned to a normal level.

Security hardening

• Enable proactive defense for malicious host behavior: The proactive defense feature provided by Security Center can accurately intercept cryptomining programs, thus preventing cryptomining incidents before they occur. For more information, see Proactive Defense.

• Strengthen access control:

  • Apply the principle of least privilege to security groups: Configure the ECS security group to open only necessary business ports (such as 80 and 443). For management ports like SSH (22) and RDP (3389), ensure they are open only to trusted, fixed IP addresses (such as your office network or a bastion host IP).

  • Password policy: Configure strong passwords for database systems or file systems (MySQL, PolarDB, MaxCompute, Redis, NAS, OSS), service management consoles (such as BT-Panel, Nacos), and operating system user accounts (SSH, RDP). Limit the number of incorrect password attempts to prevent brute-force intrusions.

• Vulnerability and patch management:

  • Update promptly: Regularly apply the latest security patches to your operating system and application software (such as web servers and databases).

  • Vulnerability scanning: Use the vulnerability scanning feature in Security Center to proactively discover and fix vulnerabilities in your system and applications.

• Harden application security: Before deploying business code, perform code security testing or integrate with a Web Application Firewall to defend against common OWASP attacks like SQL injection, XSS, common web server plugin vulnerabilities, Trojan uploads, and unauthorized access to core resources. This helps prevent system compromise through application vulnerabilities.

• Credential security: Avoid hardcoding Alibaba Cloud AccessKeys in your code or configuration files. Use RAM roles or instance RAM roles to grant permissions to applications, following the principle of least privilege. For more information, see Securely use credentials.