Security Center:Detectar e remover trojans no Linux

Contexto

Sistemas Linux com vulnerabilidades de segurança ou medidas insuficientes de hardening podem ser comprometidos por trojans. Após remover essas ameaças, fortaleça sua postura de segurança aplicando patches, reforçando permissões do sistema, auditando operações e analisando logs.

Etapa 1: Usar o Security Center para detectar e remover trojans

1. Use os alertas de segurança do Security Center para eliminar rapidamente as ameaças de trojans. Para mais informações, consulte Visualize and handle security alerts.

2. Corrija prontamente as vulnerabilidades do sistema e reforce a segurança. Para mais informações, consulte Visualize and handle vulnerabilities.

Etapa 2: Investigar indicadores de comprometimento

• Execute last e lastlog para visualizar contas e horários de login recentes e identificar possíveis acessos suspeitos.

• Execute grep -i Accepted /var/log/secure para localizar endereços IP associados a logins remotos bem-sucedidos.

• Verifique a existência de tarefas agendadas com os comandos abaixo:

  cat /var/spool/cron/
  cat /etc/cron.hourly
  cat /etc/crontab

• Execute find / -ctime 1 para buscar arquivos de trojan com base na última alteração de status.

• Analise os arquivos /etc/passwd e /etc/shadow para confirmar se há usuários suspeitos cadastrados.

• Inspecione os diretórios /tmp, /var/tmp e /dev/shm em busca de arquivos maliciosos. Esses locais possuem permissão 1777 e são alvos frequentes para upload de trojans.

• Revise os logs de services expostos à internet, como Tomcat e NGINX, para identificar anomalias.

• Execute service --status-all | grep running para verificar services em execução e detectar comportamentos anômalos.

• Execute chkconfig --list | grep :on para validar se algum service configurado para iniciar automaticamente apresenta irregularidades.

• Liste scripts de inicialização suspeitos com o comando ls -lt /etc/init.d/ | head.

Etapa 3: Comandos comuns para detecção de trojans