Security Center:Melhores práticas para lidar com programas de criptomineração

Sistemas Linux

1. Bloqueie a comunicação de rede maliciosa.

   Após descobrir atividades de mineração de criptomoedas em um host, a primeira etapa é bloquear a comunicação de rede do Trojan de mineração de criptomoedas para controlar imediatamente o impacto, pois uma correção completa pode ser demorada.

   1. Execute o seguinte comando para verificar as conexões de rede atuais do sistema.

      netstat -antp

      [root@ixxx poc]# netstat -antp
      Active Internet connections (servers and established)
      Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
      tcp        0      0 0.xxx:xxx               0.0.0.0:*               LISTEN      1399/sshd
      tcp        0      0 12xxx:xxx               0.0.0.0:*               LISTEN      1121/master
      tcp        0      0 127.0.0.xxx:xxx         0.0.0.0:*               LISTEN      8847/node
      tcp        0      0 0.0.xxx:xxx             0.0.0.0:*               LISTEN       572/rpcbind
      tcp        0      0 127.xxx:xxx             12x.x.x.1:xxx           ESTABLISHED 8988/node
      tcp        0      0 17x.xxx:xxx             10x.xxx:xxx             TIME_WAIT   -
      tcp        0      0 17x.xxx:xxx             10x.xxx:xxx             TIME_WAIT   -
      tcp        0      0 127.xxx:xxx             12x.xxx:xxx             ESTABLISHED 8847/node
      tcp        0      0 127.xxx:xxx             127.x.x.x              ESTABLISHED 8761/sshd: root@not
      tcp        0      0 17x.xxx:xxx             10x.xxx:xxx             ESTABLISHED 17704/AliHips
      tcp        0      0 17x.xxx:xxx             18x.xxx:xxx             ESTABLISHED 16901/logrotate
      tcp        0      0 1xx.xxx:xxx             12x.xxx:xxx             ESTABLISHED 8761/sshd: root@not
      tcp        0      0 1xx.xxx:xxx             100.xxx:xxx             TIME_WAIT   -
      tcp        0      0 1xx.xxx:xxx3            10x.xxx:xxx             ESTABLISHED 1506/AliYunDun
      tcp        0      0 17x.xxx:xxx22           14x.xxx:xxx             ESTABLISHED 8761/sshd: root@not
      tcp6       0      0 :::xxx                  :::*                    LISTEN      1121/master
      tcp6       0      0 :::xxx                  :::*                    LISTEN       572/rpcbind

   2. Nos comandos a seguir, substitua C&C address por um endereço remoto suspeito (Foreign Address) que não seja usado pelas suas operações normais de negócios. Em seguida, execute os comandos para adicionar regras de firewall e bloquear todas as conexões de rede entre o servidor e o endereço suspeito.

      iptables -A INPUT -s C&C address -j DROP
      iptables -A OUTPUT -d C&C address -j DROP

2. Limpe as tarefas agendadas.

   Os Trojans de mineração de criptomoedas costumam usar tarefas agendadas para baixar (atualizar) e iniciar periodicamente o Trojan. Apenas limpar o processo e o arquivo do Trojan não é suficiente para erradicar o programa e pode levar a infecções recorrentes.

   Investigue os seguintes arquivos de tarefas agendadas e remova quaisquer tarefas relacionadas ao download ou à inicialização do Trojan de mineração de criptomoedas.

   • Visualize as tarefas agendadas para o usuário atual ou um usuário especificado (username).

     crontab -l
     crontab -u username -l

   • Todos os arquivos de tarefas agendadas no host.

     /etc/crontab
     /var/spool/cron/
     /etc/anacrontab
     /etc/cron.d/
     /etc/cron.hourly/
     /etc/cron.daily/
     /etc/cron.weekly/
     /etc/cron.monthly/

3. Limpe os services de inicialização automática.

   1. Execute o seguinte comando para investigar todos os services de inicialização automática no sistema.

      systemctl list-unit-files | grep enabled

   2. Encontre o arquivo de unidade para o service suspeito e verifique seus detalhes.

      Substitua * pelo nome do service e <service_unit_name> pelo nome do arquivo de unidade do service.

      ls -al /etc/systemd/system/*.service
      ls -al /usr/lib/systemd/system/*.service
      
      # View service details (the process file started by the service)
      cat /etc/systemd/system/<service_unit_name>.service

   3. Se você encontrar um service de inicialização automática malicioso, use os seguintes comandos para desativar o service e excluir seu arquivo de unidade.

      Substitua <service name> pelo nome do service e <service_unit_name> pelo nome do arquivo de unidade do service.

      systemctl disable <service name>
      rm /etc/systemd/system/<service_unit_name>.service
      rm /usr/lib/systemd/system/<service_unit_name>.service

   4. Investigue os seguintes caminhos de service em busca de services de inicialização automática e limpe-os usando as etapas acima.

      /etc/rc.local
      /etc/inittab
      /etc/rc.d/
      /etc/init.d/

4. Limpe as chaves públicas SSH.

   Os Trojans de mineração de criptomoedas costumam adicionar a chave pública SSH do invasor ao arquivo ~/.ssh/authorized_keys. Isso permite que o invasor faça logon no host comprometido sem senha e reinstale arquivos maliciosos. Investigue o arquivo ~/.ssh/authorized_keys e exclua imediatamente quaisquer chaves públicas suspeitas.

5. Limpe o sequestro de .so .

   Arquivos .so pré-carregados, definidos por meio do arquivo /etc/ld.so.preload, podem sequestrar comandos comuns do sistema, como top, ps e netstat, para ocultar o processo de mineração de criptomoedas.

   1. Execute o seguinte comando para investigar arquivos .so pré-carregados.

      cat /etc/ld.so.preload

   2. Execute o seguinte comando para remover o sequestro de pré-carregamento.

      echo > /etc/ld.so.preload

6. Limpe contas maliciosas.

   Algumas famílias de Trojans de mineração de criptomoedas criam novas contas de backdoor para manter o controle de longo prazo sobre o host comprometido. Execute os seguintes comandos para verificar se há contas maliciosas e, em seguida, exclua manualmente as informações relevantes da conta.

   • Verifique os logs em busca de atividades recentes de criação de contas.

     cat /var/log/audit/audit.log | grep useradd
     # Or
     cat /var/log/secure | grep 'new user'

   • Verifique o arquivo /etc/passwd em busca de contas suspeitas.

     cut -d: -f1 /etc/passwd

   • Verifique a criação ou a última hora ativa do diretório home de uma conta. Preste atenção especial aos diretórios home criados recentemente.

     stat /home/guest/

7. Contorne técnicas anti-modificação.

   Após gravar arquivos de persistência, como tarefas agendadas e services de inicialização automática, alguns Trojans de mineração de criptomoedas definem um atributo imutável no arquivo para impedir que o mecanismo de persistência seja excluído.

   [root@iZxxx poc]# rm /etc/cron.hourly/logrotate
   rm: remove regular file '/etc/cron.hourly/logrotate'? y
   rm: cannot remove '/etc/cron.hourly/logrotate': Operation not permitted
   [root@iZxxx poc]# echo "" > /etc/cron.hourly/logrotate
   bash: /etc/cron.hourly/logrotate: Permission denied
   [root@iZxxx poc]# lsattr /etc/cron.hourly/logrotate
   ----i---------e-- /etc/cron.hourly/logrotate

   Se você encontrar essa situação, execute o seguinte comando para restaurar os atributos do arquivo antes de excluir a tarefa correspondente.

   chattr -i /etc/passwd
   chattr -i /etc/crontab

8. Encerre o processo do Trojan de mineração de criptomoedas.

   1. Os processos de mineração de criptomoedas geralmente consomem muitos recursos de CPU. Você pode usar os seguintes comandos para investigar processos suspeitos de mineração de criptomoedas.

      • Investigue processos que consomem grande quantidade da CPU do host.

        top -c

        Observe o valor 99.4 us na linha %Cpu(s) (indicando o uso de CPU no espaço do usuário) e o processo /root/.config/logrotate consumindo 395,0% de CPU na lista de processos.

        top – 11:42:28 up 5 days,  1:30,  0 users,  load average: 2.71, 0.84, 0.32
        Tasks: 114 total,    1 running, 110 sleeping,   3 stopped,   0 zombie
        %Cpu(s): 99.4 us,  0.6 sy,  0.0 ni,  0.0 id,  0.0 wa,  0.0 hi,  0.0 si,  0.0 st
        KiB Mem :  7732792 total,  5724224 free,   562256 used,  1446312 buff/cache
        KiB Swap:        0 total,        0 free,        0 used.  6911024 avail Mem
        
          PID USER      PR  NI    VIRT    RES    SHR S  %CPU %MEM     TIME+ COMMAND
        16901 root      20   0  320776   3220   2308 S 395.0  0.0   2:31.13 /root/.config/logrotate

        ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more

        [root@ixxx z poc]# ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more
          PID  PPID CMD                         %CPU
        16901     1 /root/.config/logrotate      208
         8988  8847 /root/.vscode-server/bin/2d  3.9

      • Investigue comportamentos anormais de conexão de rede.

        netstat -antp

        A saída mostra que o processo 16901/logrotate tem uma conexão de rede ESTABLISHED anormal, o que é um comportamento suspeito.

        [root@iZbp113etj2f09g5ci8fukZ poc]# netstat -antp
        Active Internet connections (servers and established)
        Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
        tcp        0      0 0.xxx.xxx.xx            xxx.xxx.xxx             LISTEN      1399/sshd
        tcp        0      0 12x.x.x.xxx             0.x.x.x                 LISTEN      1121/master
        tcp        0      0 1xx.x.x.xxx             xxx.xxx.xxx             LISTEN      8847/node
        tcp        0      0 0.xxx.xxx               x.x.x.x                 LISTEN      572/rpcbind
        tcp        0      0 12x.xxx.x.xxxxx         127.0.0.1.xxxxx         ESTABLISHED 8988/node
        tcp        0      0 17x.xx.xxx.xxx.xxxxx    xxx                     TIME_WAIT   -
        tcp        0      0 17x.xx                  xxx.xxx                 TIME_WAIT   -
        tcp        0      0 1xx.x.0.1.xxxxx         xxx.xxx                 ESTABLISHED 8847/node
        tcp        0      0 12x.x.x.xxx             xxx                     ESTABLISHED 8761/sshd: root@not
        tcp        0      0 1x.xxx.xxx.xxxxx        xxx.xxx.xxx.xxx         ESTABLISHED 17704/AliHips
        tcp        0      0 172.xx.xxx.x:1200       xxx.xxx.x.xxx:xxx       ESTABLISHED 16901/logrotate
        tcp        0      0 12x.x.x.xxx:x           12x.xxx                 ESTABLISHED 8761/sshd: root@not
        tcp        0      0 17x.xx.xxx.xxxxx        xxx.xxx.xx.xxx.xx       TIME_WAIT   -
        tcp        0      0 17x.xx.xxx              xxx.xxx                 ESTABLISHED 1506/AliYunDun
        tcp        0      0 1xx.xx                  xxx                     ESTABLISHED 8761/sshd: root@not
        tcp6       0      0 :xxx                    xxx                     LISTEN      1121/master
        tcp6       0      0 :::xxx                  xxx                     LISTEN      572/rpcbind

      • Obtenha o caminho do arquivo do processo suspeito.

        ls -al /proc/$PID/exe

      • Calcule o hash MD5 do arquivo do processo e pesquise-o na plataforma Alibaba Cloud Threat Intelligence.

        md5sum /proc/$PID/exe

        A página de resultados da consulta exibe as seguintes informações:

        • Nível de risco do arquivo (por exemplo, Medium) e atividade recente.

        • Detalhes do arquivo, incluindo o nome do arquivo, ambiente de execução e hora da primeira descoberta.

        • Valores de hash, incluindo MD5, SHA1 e SHA256.

        • Tags de ameaça (por exemplo, Cryptomining).

   2. Execute os seguintes comandos para encerrar o processo de mineração de criptomoedas e limpar o arquivo do Trojan.

      kill -9 $PID
      # Delete the process path obtained from ls -al /proc/$PID/exe
      rm /path/to/executable

Sistemas Linux (casos específicos de mineração de criptomoedas)

# Restore modified commands
crondir='/var/spool/cron/'"$USER"
mv /bin/ps.original /bin/ps
mv /bin/top.original /bin/top
mv /bin/pstree.original /bin/pstree

# Restore editing permissions for scheduled task files
chattr -R -ia /var/spool/cron
chattr -ia /etc/crontab
chattr -R -ia /var/spool/cron/crontabs
chattr -R -ia /etc/cron.d

# Delete suspicious scheduled tasks and payloads
sed -i '/upat.sh/d' /etc/crontab
rm -rf /etc/cron.d/httpd2
rm -rf /etc/upat.sh
rm -rf /tmp/upat.sh
rm -rf /etc/httpd2
rm -rf /tmp/httpd2

# Delete suspicious public keys
sed -i '/cKtXBjj******hVI0K7b/d' ~/.ssh/authorized_keys
sed -i '/cKtXBjj******hVI0K7b/d' /root/.ssh/authorized_keys

Sistemas Windows

1. No PowerShell, execute o seguinte comando para investigar processos suspeitos de mineração de criptomoedas com base no uso de CPU.

   Nota

    ps | sort -des cpu
    While(1) {ps | sort -des cpu | select -f 15 | ft -a; sleep 1; cls}

2. Execute o seguinte comando para visualizar o caminho do executável e os argumentos de linha de comando do processo de mineração de criptomoedas.

   Nota

   wmic process where processid=xxx get processid,executablepath,commandline,name     // xxx is the process PID

3. Encerre o processo de mineração de criptomoedas e limpe o arquivo do Trojan.

4. Execute o comando a seguir para verificar se há conexões em portas de rede suspeitas.

   Nota

   netstat -ano | findstr xxx            // xxx is the suspicious network port

5. Execute o comando a seguir para verificar se o arquivo hosts do servidor contém o endereço do pool de mineração do programa de criptomineração.

   Nota

   type  C:\Windows\System32\drivers\etc\hosts

6. Execute o comando a seguir para verificar se há tarefas agendadas configuradas pelo programa de criptomineração.

   Nota

   schtasks /query