Security Center:Melhores práticas para lidar com programas de criptomineração

Pré-requisitos

• Você adquiriu a edição Anti-virus, Advanced, Enterprise ou Ultimate do Security Center.

  Nota

  Você também pode ativar o teste gratuito de 7 dias para usar os recursos relacionados.

• Para realizar uma varredura completa, ative o recurso Agentless Detection, que é um serviço de pagamento conforme o uso.

• Certifique-se de que o agente do Security Center no servidor alvo esteja online.

Etapa 1: Tratar alertas e encerrar processos maliciosos

Use o recurso Alert no Security Center para encerrar processos maliciosos e colocar arquivos de vírus em quarentena, parando rapidamente o programa de criptomineração. Para mais informações, consulte Avaliar e tratar alertas de segurança. As etapas a seguir fornecem um exemplo.

1. Faça login no console do Security Center.

2. No painel de navegação à esquerda, escolha Detection and Response > Alert. No canto superior esquerdo do console, selecione a região onde o ativo a ser protegido está localizado:Chinese Mainland ou Outside Chinese Mainland.

3. Localize o alerta de criptomineração e clique em Details na coluna Actions para visualizar os detalhes do alerta.

   Importante

   Com base nas informações básicas e na descrição do evento fornecidas no console do Security Center, localize o programa de criptomineração e verifique se há outros alertas ou arquivos suspeitos. Determine se o arquivo que acionou o alerta é um arquivo legítimo de negócios ou um arquivo executado por um invasor. Se confirmar que se trata de um ataque, recomendamos que, após tratar o alerta de criptomineração, você também resolva todos os outros alertas e arquivos suspeitos no servidor.

4. Retorne à página Alerts para tratar o alerta de criptomineração.

   1. Clique em Handle na coluna Actions para o alerta de criptomineração alvo.

   2. Na caixa de diálogo Handle Alert, selecione Virus Detection and Removal como método de tratamento. Em seguida, selecione Terminate Process ou Terminate Process and Quarantine Source File, e clique em Handle Now para impedir que o programa seja executado novamente.

      Se confirmar que o arquivo que causou o alerta não é um arquivo de negócios, recomendamos selecionar Terminate Process and Quarantine Source File para evitar que o vírus infecte ainda mais o servidor.

      Nota

      O Security Center suporta o recurso Batch Handle Same Alerts. Se precisar processar em lote alertas acionados pela mesma regra ou tipo, selecione Batch Handle Same Alerts.

5. Na página Alerts, encontre quaisquer alertas relacionados gerados pelo evento de criptomineração (como comunicação com pool de mineração) e execute a ação Block.

   Nota

   O Security Center gera uma política correspondente para impedir que o servidor acesse o pool de mineração, dando tempo suficiente para tratar o evento de segurança. Você também pode adicionar manualmente o endereço IP do pool de mineração a um grupo de segurança para bloquear o acesso. Para mais informações sobre como adicionar uma regra de grupo de segurança, consulte Adicionar uma regra de grupo de segurança.

6. Na página Alerts, verifique se há alertas de anomalia de comportamento de processo para determinar se existem tarefas agendadas anormais e trate esses alertas adequadamente.

   Nota

   

Etapa 2: Varredura profunda e limpeza

Após o encerramento de um processo malicioso, mecanismos de persistência como serviços de inicialização automática e tarefas agendadas podem permanecer. Use o recurso Antivirus no Security Center para verificá-los e limpá-los. Para mais informações, consulte Antivirus. As etapas a seguir fornecem um exemplo.

1. Faça login no console do Security Center.No painel de navegação à esquerda, escolha Protection Configuration > Host Protection > Virus Detection and Removal. No canto superior esquerdo do console, selecione a região onde o ativo a ser protegido está localizado:Chinese Mainland ou Outside Chinese Mainland.

2. Na página Virus Detection and Removal, clique em Scan Now ou Scan Again.

3. No painel Scan Settings, configure o modo de varredura e o escopo da varredura e clique em OK.

   • Scan Mode: Selecione Quick Scan.

   • Scan Scope: Selecione o servidor comprometido pelo programa de criptomineração.

     

4. Após a conclusão da varredura, na página Virus Detection and Removal, clique em Actions na coluna Handle para o alerta alvo.

5. No painel Alert Handling, selecione Deep Cleanup, clique em Next e aguarde o sistema processar o alerta.

6. Após o tratamento do alerta, visualize o resultado e o status do alerta na página Alerts.

   

Etapa 3: Varredura completa

Para garantir que não restem arquivos residuais, use o recurso de detecção sem agente para realizar uma varredura completa offline do disco. Esse recurso suporta apenas detecção, não correção. Trate quaisquer riscos detectados com base nos detalhes fornecidos na página de detalhes do risco. Para mais informações, consulte Agentless Detection.

1. Faça login no console do Security Center.Selecione a região onde o ativo a ser protegido está localizado:Chinese Mainland ou Outside Chinese Mainland.

2. Na aba Agentless Detection > Server Check, na seção Risk Detection, clique em Detect Now.

3. No painel Detect Now, configure as opções conforme descrito na tabela a seguir e clique em OK.

   • Scan Scope: Recomendamos verificar o disco de dados para obter uma cobertura mais ampla de detecção de vulnerabilidades e alertas.

   • Image Retention Duration:

     • O valor pode variar de 1 a 365 dias.

     • Há cobrança pela criação de imagens. Quanto maior o tempo de retenção dos imagens, maiores serão as taxas.

       Importante

       Se você selecionar Retain Only At-risk Image, o sistema excluirá automaticamente imagens livres de ameaças após a conclusão da varredura.

5. Após criar a tarefa, o Security Center cria automaticamente o imagem e realiza a varredura e as operações subsequentes. Para mais informações, consulte Criação automática de snapshots e imagens.

   Nota

   A duração da varredura depende do volume de dados. Aguarde a conclusão da tarefa.

6. Após a conclusão da tarefa de detecção, revise e trate quaisquer riscos de vulnerabilidade detectados, falhas em verificações de linha de base, alertas de segurança e arquivos sensíveis.

Limpeza manual

Programas de criptomineração criam diversos backdoors de persistência, tornando sua remoção difícil. Se você encontrar um vírus de criptomineração sem uma assinatura do Security Center, adote as medidas a seguir para investigar e tratar o problema.

Importante

Este método envolve a modificação de arquivos e configurações. Antes de prosseguir, crie um snapshot dos discos do servidor para garantir a restauração dos dados em caso de erro operacional.

Sistemas Linux

1. Bloqueie a comunicação de rede maliciosa.

   Ao descobrir atividade de criptomineração em um host, o primeiro passo é bloquear a comunicação de rede do Trojan para controlar imediatamente o impacto, pois uma correção completa pode levar tempo.

   1. Execute o seguinte comando para verificar as conexões de rede atuais do sistema.

      netstat -antp

      

   2. Nos comandos a seguir, substitua C&C address por um endereço remoto suspeito (Foreign Address) que não seja usado pelas suas operações normais de negócios. Em seguida, execute os comandos para adicionar regras de firewall que bloqueiem todas as conexões de rede entre o servidor e o endereço suspeito.

      iptables -A INPUT -s C&C address -j DROP
      iptables -A OUTPUT -d C&C address -j DROP

2. Limpe tarefas agendadas.

   Trojans de criptomineração frequentemente usam tarefas agendadas para baixar (atualizar) e iniciar periodicamente o Trojan. Apenas limpar o processo e o arquivo do Trojan não é suficiente para erradicar o programa e pode levar a infecções recorrentes.

   Investigue os seguintes arquivos de tarefas agendadas e remova quaisquer tarefas relacionadas ao download ou início do Trojan de criptomineração.

   • Visualize as tarefas agendadas para o usuário atual ou um usuário especificado (username).

     crontab -l
     crontab -u username -l

   • Todos os arquivos de tarefas agendadas no host.

     /etc/crontab
     /var/spool/cron/
     /etc/anacrontab
     /etc/cron.d/
     /etc/cron.hourly/
     /etc/cron.daily/
     /etc/cron.weekly/
     /etc/cron.monthly/

3. Limpe serviços de inicialização automática.

   1. Execute o seguinte comando para investigar todos os serviços de inicialização automática no sistema.

      systemctl list-unit-files | grep enabled

   2. Encontre o arquivo unit do serviço suspeito e verifique seus detalhes.

      Substitua * pelo nome do serviço e <service_unit_name> pelo nome do arquivo unit do serviço.

      ls -al /etc/systemd/system/*.service
      ls -al /usr/lib/systemd/system/*.service
      
      # View service details (the process file started by the service)
      cat /etc/systemd/system/<service_unit_name>.service

   3. Se encontrar um serviço malicioso de inicialização automática, use os comandos a seguir para desativar o serviço e excluir seu arquivo unit.

      Substitua <service name> pelo nome do serviço e <service_unit_name> pelo nome do arquivo unit do serviço.

      systemctl disable <service name>
      rm /etc/systemd/system/<service_unit_name>.service
      rm /usr/lib/systemd/system/<service_unit_name>.service

   4. Investigue os seguintes caminhos de serviço para serviços de inicialização automática e limpe-os usando as etapas acima.

      /etc/rc.local
      /etc/inittab
      /etc/rc.d/
      /etc/init.d/

4. Limpe chaves públicas SSH.

   Trojans de criptomineração frequentemente adicionam a chave pública SSH do invasor ao arquivo ~/.ssh/authorized_keys. Isso permite que o invasor faça login no host comprometido sem senha e reinstale arquivos maliciosos. Investigue o arquivo ~/.ssh/authorized_keys e exclua imediatamente quaisquer chaves públicas suspeitas.

5. Limpe sequestro de .so .

   Arquivos .so pré-carregados, definidos via arquivo /etc/ld.so.preload, podem sequestrar comandos comuns do sistema, como top, ps e netstat, para ocultar o processo de criptomineração.

   1. Execute o seguinte comando para investigar arquivos .so pré-carregados.

      cat /etc/ld.so.preload

   2. Execute o seguinte comando para remover o sequestro de pré-carregamento.

      echo > /etc/ld.so.preload

6. Limpe contas maliciosas.

   Algumas famílias de Trojans de criptomineração criam novas contas de backdoor para manter controle de longo prazo sobre o host comprometido. Execute os comandos a seguir para verificar contas maliciosas e exclua manualmente as informações relevantes da conta.

   • Verifique nos logs atividades recentes de criação de contas.

     cat /var/log/audit/audit.log | grep useradd
     # Or
     cat /var/log/secure | grep 'new user'

   • Verifique o arquivo /etc/passwd em busca de contas suspeitas.

     cut -d: -f1 /etc/passwd

   • Verifique a data de criação ou última atividade do diretório home de uma conta. Preste atenção especial aos diretórios home criados recentemente.

     stat /home/guest/

7. Contorne técnicas anti-modificação.

   Após gravar arquivos de persistência, como tarefas agendadas e serviços de inicialização automática, alguns Trojans de criptomineração definem um atributo imutável no arquivo para impedir que o mecanismo de persistência seja excluído.

   

   Se encontrar essa situação, execute o seguinte comando para restaurar os atributos do arquivo antes de excluir a tarefa correspondente.

   chattr -i /etc/passwd
   chattr -i /etc/crontab

8. Elimine o processo do Trojan de criptomineração.

   1. Processos de criptomineração geralmente consomem muitos recursos de cpu. Use os comandos a seguir para investigar processos suspeitos de criptomineração.

      • Investigue processos que consomem grande quantidade da cpu do host.

        top -c

        

        ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more

        

      • Investigue comportamentos anormais de conexão de rede.

        netstat -antp

        

      • Obtenha o caminho do arquivo do processo suspeito.

        ls -al /proc/$PID/exe

      • Calcule o hash MD5 do arquivo de processo e pesquise-o na plataforma de Inteligência contra Ameaças da Alibaba Cloud.

        md5sum /proc/$PID/exe

        

   2. Execute os comandos a seguir para encerrar o processo de criptomineração e limpar o arquivo do Trojan.

      kill -9 $PID
      # Delete the process path obtained from ls -al /proc/$PID/exe
      rm /path/to/executable

Sistemas Linux (casos específicos de criptomineração)

Criptomineração disfarçada de AliyunDuns

1. Execute os comandos a seguir para investigar entradas persistentes de inicialização automática.

   grep -rlE "\\-\\-donate\\-level|xmrig|\\/opt\\/sysetmd|A_li_yun_Duns" /etc/systemd/system/*
   grep -rl "wget"  /etc/cron.hourly/*

2. Se houver resultados, existe um serviço de inicialização automática. Execute os comandos a seguir para excluí-lo.

   rm -f /etc/systemd/system/sysetmd.service
   rm -f /etc/systemd/system/monero.service
   rm -f /etc/systemd/system/A_li_yun_Duns.service
   chattr -i /etc/cron.hourly/0
   rm -f /etc/cron.hourly/0

3. Investigue e trate usuários suspeitos.

   1. Execute o seguinte comando para consultar a lista de usuários do sistema e identificar o nome de usuário suspeito.

      cat /etc/passwd

   2. Execute o seguinte comando para visualizar informações sobre um usuário anormal do sistema. Neste exemplo, o usuário é shaojiang99.

      cat /etc/passwd | grep shaojiang99
      cat /etc/shadow | grep shaojiang99

   3. Execute o seguinte comando para excluir o usuário suspeito do sistema.

      chattr -i /etc/passwd
      chattr -i /etc/shadow
      sed -i '/^shaojiang99:/d' /etc/shadow
      sed -i '/^shaojiang99:/d' /etc/passwd

Correção manual para Skidmap

1. Execute os comandos a seguir para excluir as entradas de serviço de inicialização automática.

   echo "" > /lib/systemd/system/systemd-cgroup.service
   echo "" > /lib/systemd/system/systemd-deltaed.service
   echo "" > /usr/bin/systemd-cgroup.org
   echo "" > /usr/bin/systemd-cgroup
   echo "" > /usr/bin/systemd-deltaed
   echo "" > /usr/bin/systemd-deltaed.org

2. Limpe manualmente o arquivo de chave pública SSH authorized_keys removendo quaisquer chaves suspeitas.

Correção manual para Cleanfda

1. Investigue os seguintes caminhos de tarefas agendadas em busca de execução de scripts suspeitos (por exemplo, /etc/upat.sh).

   /var/spool/cron/
   /etc/cron.d/
   /var/spool/cron/crontabs
   /etc/crontab

2. Investigue comandos modificados (programas originais como ps, pstree e top serão renomeados com o sufixo .original).

   ls -al /usr/bin | grep original

3. Investigue chaves públicas SSH e exclua quaisquer chaves desconhecidas.

   cat ~/.ssh/authorized_keys
   cat /root/.ssh/authorized_keys

Exemplo:

# Restore modified commands
crondir='/var/spool/cron/'"$USER"
mv /bin/ps.original /bin/ps
mv /bin/top.original /bin/top
mv /bin/pstree.original /bin/pstree

# Restore editing permissions for scheduled task files
chattr -R -ia /var/spool/cron
chattr -ia /etc/crontab
chattr -R -ia /var/spool/cron/crontabs
chattr -R -ia /etc/cron.d

# Delete suspicious scheduled tasks and payloads
sed -i '/upat.sh/d' /etc/crontab
rm -rf /etc/cron.d/httpd2
rm -rf /etc/upat.sh
rm -rf /tmp/upat.sh
rm -rf /etc/httpd2
rm -rf /tmp/httpd2

# Delete suspicious public keys
sed -i '/cKtXBjj******hVI0K7b/d' ~/.ssh/authorized_keys
sed -i '/cKtXBjj******hVI0K7b/d' /root/.ssh/authorized_keys

Criptomineração da família Outlaw

1. Investigue todas as tarefas agendadas cron em busca da string .configrc5/.

   • Caminhos de tarefas agendadas:

     /var/spool/cron/root
     /var/spool/cron/
     /etc/cron.d/
     /var/spool/cron/crontabs
     /etc/crontab

   • Execute os comandos a seguir para investigar.

     grep -r ".configrc5/" /var/spool/cron/*
     grep -r ".configrc5/" /etc/cron*

3. Se encontrado, execute os comandos a seguir para excluir os arquivos relacionados.

   rm -rf /tmp/.X2xi-unix/.rsync
   rm -rf ~/.configrc5

Criptomineração da família kinsing

1. Execute o seguinte comando para investigar tarefas agendadas cron. Procure conteúdo semelhante a gi.sh | bash > /dev/null. Se existir, exclua essa linha.

   grep -r "gi.sh | bash > /dev/null" /etc/cron*
   grep -r "gi.sh | bash > /dev/null" /var/spool/cron/*

2. Execute o seguinte comando para verificar se o serviço /lib/systemd/system/bot.service existe.

   cat /lib/systemd/system/bot.service 

3. Se o serviço existir, execute o seguinte comando para verificar o arquivo libsystem.so em /etc/ld.so.preload.

   cat /etc/ld.so.preload

4. Após localizar o caminho do arquivo libsystem.so, exclua o arquivo.

Sistemas Windows

1. No PowerShell, execute o seguinte comando para investigar processos suspeitos de criptomineração com base no uso da cpu.

   Nota

    ps | sort -des cpu
    While(1) {ps | sort -des cpu | select -f 15 | ft -a; sleep 1; cls}

2. Execute o seguinte comando para visualizar o caminho do executável e os argumentos de linha de comando do processo de criptomineração.

   Nota

   wmic process where processid=xxx get processid,executablepath,commandline,name     // xxx is the process PID

3. Encerre o processo de criptomineração e limpe o arquivo do Trojan.

4. Execute o seguinte comando para verificar conexões em portas de rede suspeitas.

   Nota

   netstat -ano | findstr xxx            // xxx is the suspicious network port

5. Execute o seguinte comando para verificar se o arquivo hosts do servidor contém o endereço do pool de mineração do programa de criptomineração.

   Nota

   type  C:\Windows\System32\drivers\etc\hosts

6. Execute o seguinte comando para verificar se há tarefas agendadas definidas pelo programa de criptomineração.

   Nota

   schtasks /query

Redefinir o sistema

Se o vírus infiltrou-se profundamente no sistema, o problema retorna após a limpeza manual ou o servidor não contém dados críticos de negócios, recomendamos esta opção. Sugerimos fortemente fazer backup de dados importantes antes de redefinir o sistema do servidor para garantir a limpeza completa do programa de criptomineração.

1. Crie snapshots para fazer backup de dados importantes no servidor. Para mais informações, consulte Criar um snapshot para um disco.

2. Reinicialize o disco do sistema: No console ECS, selecione a instância alvo e execute a operação Re-initialize System Disk. Esta ação apaga completamente o disco do sistema e o restaura ao estado inicial. Para mais informações, consulte Reinicializar um disco do sistema (redefinir um sistema operacional).

3. Use um snapshot para criar um novo disco em nuvem. Para mais informações, consulte Criar um disco a partir de um snapshot.

4. Anexe o disco em nuvem ao servidor com o sistema reinstalado. Para mais informações, consulte Anexar um disco de dados.

5. Faça login no servidor e copie apenas os dados de negócios (como código do site e arquivos de banco de dados) do disco de dados anexado.

   Importante

   Não restaure nenhum arquivo executável, arquivo de configuração do sistema ou script do snapshot antigo para evitar reintroduzir backdoors.

Adquirir serviço de resposta a emergências

A Alibaba Cloud oferece um Emergency Response Service onde engenheiros de segurança profissionais podem ajudar a resolver problemas como infecções por vírus. O serviço inclui:

• Limpeza abrangente de Trojans, vírus, contas anormais, arquivos anormais, webshells, links ocultos e outros problemas no seu sistema.

• Análise dos métodos de intrusão do invasor para determinar a causa raiz.

• Orientação sobre fortalecimento de segurança.

Para mais informações, consulte Emergency Response Service.

Verificar a correção

Após a limpeza, valide os resultados e fortaleça o sistema para garantir a segurança e prevenir reinfecções.

1. Varra novamente: Use o recurso Antivirus ou Agentless Detection no Security Center para realizar uma varredura completa do servidor e confirmar que não há alertas.

2. Monitore o desempenho: Monitore continuamente a utilização da cpu do servidor para confirmar que retornou a um nível normal.

Fortalecimento de segurança

• Ative a defesa proativa contra comportamento malicioso de host: O recurso de defesa proativa fornecido pelo Security Center pode interceptar com precisão programas de criptomineração, prevenindo incidentes antes que ocorram. Para mais informações, consulte Proactive Defense.

• Reforce o controle de acesso:

  • Aplique o princípio do menor privilégio aos grupos de segurança: Configure o grupo de segurança do ECS para abrir apenas portas de negócios necessárias (como 80 e 443). Para portas de gerenciamento como SSH (22) e RDP (3389), garanta que estejam abertas apenas para endereços IP fixos e confiáveis (como sua rede corporativa ou IP de bastion host).

  • Política de senhas: Configure senhas fortes para sistemas de banco de dados ou sistemas de arquivos (MySQL, PolarDB, MaxCompute, Redis, NAS, OSS), consoles de gerenciamento de serviços (como BT-Panel, Nacos) e contas de usuário do sistema operacional (SSH, RDP). Limite o número de tentativas incorretas de senha para evitar intrusões por força bruta.

• Gerenciamento de vulnerabilidades e patches:

  • Atualize prontamente: Aplique regularmente os patches de segurança mais recentes ao seu sistema operacional e softwares de aplicação (como servidores web e bancos de dados).

  • Varredura de vulnerabilidades: Use o recurso de varredura de vulnerabilidades no Security Center para descobrir e corrigir proativamente vulnerabilidades em seu sistema e aplicações.

• Fortaleça a segurança da aplicação: Antes de implantar código de negócios, realize testes de segurança de código ou integre com um Web Application Firewall para defender contra ataques comuns OWASP, como injeção SQL, XSS, vulnerabilidades comuns de plugins de servidor web, uploads de Trojans e acesso não autorizado a recursos principais. Isso ajuda a prevenir o comprometimento do sistema através de vulnerabilidades de aplicação.

• Segurança de credenciais: Evite codificar AccessKeys da Alibaba Cloud diretamente no código ou em arquivos de configuração. Use funções RAM ou funções RAM de instância para conceder permissões às aplicações, seguindo o princípio do menor privilégio. Para mais informações, consulte Usar credenciais com segurança.