Security Center:クリプトマイニングへの対処

Linux システム

1. 悪意のあるネットワーク通信をブロックします。

   ホストでクリプトマイニング活動を発見した後、最初のステップはクリプトマイニングトロイの木馬のネットワーク通信をブロックして、影響を即座に制御することです。完全な修復には時間がかかる場合があります。

   1. 次のコマンドを実行して、現在のシステムネットワーク接続を確認します。

      netstat -antp

      

   2. 次のコマンドで、C&C address を、通常のビジネス運用で使用されていない不審な外部アドレスに置き換えます。次に、コマンドを実行してファイアウォールルールを追加し、サーバーと不審なアドレス間のすべてのネットワーク接続をブロックします。

      iptables -A INPUT -s C&C address -j DROP
      iptables -A OUTPUT -d C&C address -j DROP

2. 定期タスクのクリア

   クリプトマイニングトロイの木馬は、定期タスクを使用してトロイの木馬を定期的にダウンロード (更新) および開始することがよくあります。プロセスとトロイの木馬ファイルを単にクリーンアップするだけでは、プログラムを根絶するには不十分であり、再発感染につながる可能性があります。

   以下の定期タスクファイルを調査し、クリプトマイニングトロイの木馬のダウンロードまたは開始に関連するタスクを削除します。

   • 現在のユーザーまたは指定されたユーザー (username) の定期タスクを表示します。

     crontab -l
     crontab -u username -l

   • ホスト上のすべての定期タスクファイル。

     /etc/crontab
     /var/spool/cron/
     /etc/anacrontab
     /etc/cron.d/
     /etc/cron.hourly/
     /etc/cron.daily/
     /etc/cron.weekly/
     /etc/cron.monthly/

3. 自動起動サービスのクリア

   1. 次のコマンドを実行して、システム上のすべての自動起動サービスを調査します。

      systemctl list-unit-files | grep enabled

   2. 不審なサービスのユニットファイルを見つけ、その詳細を確認します。

      * をサービス名に、<service_unit_name> をサービスユニットファイル名に置き換えます。

      ls -al /etc/systemd/system/*.service
      ls -al /usr/lib/systemd/system/*.service
      
      # サービスの詳細 (サービスによって開始されるプロセスファイル) を表示
      cat /etc/systemd/system/<service_unit_name>.service

   3. 悪意のある自動起動サービスを見つけた場合は、次のコマンドを使用してサービスを無効にし、そのユニットファイルを削除します。

      <service name> をサービス名に、<service_unit_name> をサービスユニットファイル名に置き換えます。

      systemctl disable <service name>
      rm /etc/systemd/system/<service_unit_name>.service
      rm /usr/lib/systemd/system/<service_unit_name>.service

   4. 以下のサービスパスで自動起動サービスを調査し、上記の手順でクリーンアップします。

      /etc/rc.local
      /etc/inittab
      /etc/rc.d/
      /etc/init.d/

4. SSH 公開鍵のクリア

   クリプトマイニングトロイの木馬は、攻撃者の SSH 公開鍵を ~/.ssh/authorized_keys ファイルに追加することがよくあります。これにより、攻撃者はパスワードなしで侵害されたホストにログインし、悪意のあるファイルを再インストールできます。~/.ssh/authorized_keys ファイルを調査し、不審な公開鍵を直ちに削除します。

5. .so ハイジャックを解消する。

   /etc/ld.so.preload ファイルを介して設定された、プリロードされた .so ファイルは、top、ps、netstat などの一般的なシステムコマンドをハイジャックして、クリプトマイニングプロセスを隠すことができます。

   1. 次のコマンドを実行して、プリロードされた .so ファイルを調査します。

      cat /etc/ld.so.preload

   2. 次のコマンドを実行して、プリロードハイジャックを削除します。

      echo > /etc/ld.so.preload

6. 悪意のあるアカウントのクリア

   一部のクリプトマイニングトロイの木馬ファミリーは、侵害されたホストの長期的な制御を維持するために、新しいバックドアアカウントを作成します。次のコマンドを実行して悪意のあるアカウントを確認し、関連するアカウント情報を手動で削除します。

   • ログで最近のアカウント作成アクティビティを確認します。

     cat /var/log/audit/audit.log | grep useradd
     # または
     cat /var/log/secure | grep 'new user'

   • /etc/passwd ファイルで不審なアカウントを確認します。

     cut -d: -f1 /etc/passwd

   • アカウントの home ディレクトリの作成時刻または最終アクティブ時刻を確認します。最近作成された home ディレクトリに特に注意してください。

     stat /home/guest/

7. 改ざん防止技術への対策

   定期タスクや自動起動サービスなどの永続化ファイルを書き込んだ後、一部のクリプトマイニングトロイの木馬は、永続化メカニズムが削除されるのを防ぐために、ファイルに不変属性を設定します。

   

   上の画像に示すように、この状況に遭遇した場合は、ファイルまたはタスクを削除する前に、次のコマンドを実行して不変属性を削除します。

   chattr -i /etc/passwd
   chattr -i /etc/crontab

8. クリプトマイニングトロイの木馬プロセスの強制終了

   1. クリプトマイニングプロセスは通常、高い CPU リソースを消費します。次のコマンドを使用して、不審なクリプトマイニングプロセスを調査できます。

      • ホストの CPU を大量に消費しているプロセスを調査します。

        top -c

        

        ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more

        

      • 異常なネットワーク接続の動作を調査します。

        netstat -antp

        

      • 不審なプロセスのファイルパスを取得します。

        ls -al /proc/$PID/exe

      • プロセスファイルの MD5 ハッシュを計算し、Alibaba Cloud 脅威インテリジェンスプラットフォームで検索します。

        md5sum /proc/$PID/exe

        

   2. 次のコマンドを実行して、クリプトマイニングプロセスを終了し、トロイの木馬ファイルをクリーンアップします。

      kill -9 $PID
      # ls -al /proc/$PID/exe から取得したプロセスパスを削除
      rm /path/to/executable

Linux (特定のケース)

# 変更されたコマンドを復元
crondir='/var/spool/cron/'"$USER"
mv /bin/ps.original /bin/ps
mv /bin/top.original /bin/top
mv /bin/pstree.original /bin/pstree

# 定期タスクファイルの編集権限を復元
chattr -R -ia /var/spool/cron
chattr -ia /etc/crontab
chattr -R -ia /var/spool/cron/crontabs
chattr -R -ia /etc/cron.d

# 不審な定期タスクとペイロードを削除
sed -i '/upat.sh/d' /etc/crontab
rm -rf /etc/cron.d/httpd2
rm -rf /etc/upat.sh
rm -rf /tmp/upat.sh
rm -rf /etc/httpd2
rm -rf /tmp/httpd2

# 不審な公開鍵を削除
sed -i '/cKtXBjj******hVI0K7b/d' ~/.ssh/authorized_keys
sed -i '/cKtXBjj******hVI0K7b/d' /root/.ssh/authorized_keys

Windows システム

1. PowerShell で、次のコマンドを実行して、CPU 使用率に基づいて不審なクリプトマイニングプロセスを調査します。

    ps | sort -des cpu
    While(1) {ps | sort -des cpu | select -f 15 | ft -a; sleep 1; cls}

2. 次のコマンドを実行して、クリプトマイニングプロセスの実行可能パスとコマンドライン引数を表示します。

   wmic process where processid=xxx get processid,executablepath,commandline,name     // xxx はプロセスの PID です

3. クリプトマイニングプロセスを終了し、トロイの木馬ファイルをクリーンアップします。

4. 次のコマンドを実行して、不審なネットワークポートでの接続を確認します。

   netstat -ano | findstr xxx            // xxx は不審なネットワークポートです

5. 次のコマンドを実行して、サーバーの hosts ファイルにクリプトマイニングプログラムのマイニングプールアドレスが含まれているかどうかを確認します。

   type  C:\Windows\System32\drivers\etc\hosts

6. 次のコマンドを実行して、クリプトマイニングプログラムによって設定された定期タスクを確認します。

   schtasks /query