Elastic Compute Service:Tratar e prevenir vírus de mineração

Bloqueie a comunicação de rede maliciosa.

Ao descobrir um comportamento de mineração, bloqueie a comunicação de rede do trojan primeiro. Uma resposta completa leva tempo; bloquear a comunicação controla o impacto imediatamente.

1. Visualize as conexões de rede atuais do sistema.

   netstat -antp

   

2. Substitua c2_address por um endereço remoto suspeito não utilizado pelo seu negócio. Adicione regras de firewall para bloquear todas as conexões com esse endereço.

   iptables -A INPUT -s c2_address -j DROP
   iptables -A OUTPUT -d c2_address -j DROP

Exclua o programa de mineração e os arquivos relacionados

Programas de mineração geralmente são difíceis de eliminar. Faça backup dos dados importantes e reinicialize o disco para garantir a remoção completa.

• Eliminar tarefas agendadas

  Trojans de mineração frequentemente usam tarefas agendadas para baixar, atualizar e iniciar o programa periodicamente. Eliminar apenas o processo e os arquivos não erradicará o programa.

  Verifique os seguintes arquivos de tarefas agendadas e exclua qualquer tarefa que baixe ou inicie o trojan de mineração.

  1. Visualize as tarefas agendadas do usuário atual ou de um usuário específico (username).

     crontab -l
     crontab -u username -l

  2. Verifique todos os arquivos de tarefas agendadas no host.

     /etc/crontab
     /var/spool/cron/
     /etc/anacrontab
     /etc/cron.d/
     /etc/cron.hourly/
     /etc/cron.daily/
     /etc/cron.weekly/
     /etc/cron.monthly/

• Eliminar entradas de serviços de inicialização automática

  1. Verifique todos os serviços de inicialização automática.

     systemctl list-unit-files | grep enabled

  2. Localize o arquivo de unidade do serviço suspeito e verifique os detalhes.

     Substitua * pelo nome do serviço e <service_unit_name> pelo nome do arquivo de unidade do serviço.

     ls -al /etc/systemd/system/*.service
     ls -al /usr/lib/systemd/system/*.service
     
     # View service details (process file started by the service)
     cat /etc/systemd/system/<service_unit_name>.service

  3. Se encontrar um serviço malicioso de inicialização automática, desative-o e exclua o arquivo de unidade.

     Substitua <service name> pelo nome do serviço e <service_unit_name> pelo nome do arquivo de unidade do serviço.

     systemctl disable <service name>
     rm /etc/systemd/system/<service_unit_name>.service
     rm /usr/lib/systemd/system/<service_unit_name>.service

  4. Verifique os caminhos a seguir para serviços de inicialização automática e realize a limpeza conforme descrito acima.

     /etc/rc.local
     /etc/inittab
     /etc/rc.d/
     /etc/init.d/

• Eliminar chaves públicas SSH

  Trojans de mineração frequentemente gravam a chave pública SSH do invasor em ~/.ssh/authorized_keys, permitindo login sem senha e reimplantação. Verifique ~/.ssh/authorized_keys e exclua imediatamente quaisquer chaves públicas suspeitas.

• Eliminar hijacking de .so

  /etc/ld.so.preload define arquivos .so pré-carregados que fazem hijacking de comandos comuns do sistema, como top, `ps` e `netstat`, ocultando o processo de mineração.

  1. Verifique se há arquivos .so pré-carregados.

     cat /etc/ld.so.preload

  2. Remova o hijacking de pré-carregamento.

     echo > /etc/ld.so.preload

• Eliminar contas maliciosas

  Algumas famílias de trojans de mineração criam contas backdoor para manter o controle a longo prazo. Verifique se há contas maliciosas e exclua-as.

  1. Verifique os logs de criação de contas recentes.

     cat /var/log/audit/audit.log | grep useradd
     # Or
     cat /var/log/secure | grep 'new user'

  2. Verifique /etc/passwd em busca de contas suspeitas.

     cut -d: -f1 /etc/passwd

  3. Verifique a data de criação ou a última atividade de uma conta suspeita usando o diretório home. Preste atenção a diretórios home criados recentemente.

     stat /home/guest/

• Eliminar o processo do trojan de mineração

  Processos de mineração geralmente consomem recursos de CPU elevados. Use os comandos a seguir para encontrar processos suspeitos.

  1. Encontre processos com alto consumo de CPU.

     top -c

     

     ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more

     

  2. Verifique conexões de rede anormais.

     netstat -antp

     

  3. Obtenha o caminho do arquivo do processo suspeito.

     ls -al /proc/$PID/exe

  4. Calcule o hash MD5 do arquivo do processo e consulte-o na plataforma de Inteligência de Ameaças da Alibaba Cloud.

     md5sum /proc/$PID/exe

     

  5. Encerre o processo de mineração e elimine o arquivo de mineração.

     kill -9 $PID
     # Delete the process path obtained from ls -al /proc/$PID/exe
     rm /path/to/executable