Security Center:Detectar e remover trojans no Linux

Contexto

Trojans exploram vulnerabilidades não corrigidas ou configurações de segurança inadequadas. Após a remoção, fortaleça as defesas: aplique patches de segurança, reforce permissões, audite operações e analise logs.

Etapa 1: Usar o Security Center para remover trojans

1. Trate o alerta de segurança e remova o trojan. Avaliar e tratar alertas.

2. Corrija imediatamente a vulnerabilidade do sistema. Visualize e tratar vulnerabilidades de software Linux.

Etapa 2: Investigar indicadores de comprometimento

• Execute last e lastlog para revisar logins recentes em busca de atividades suspeitas.

• Execute grep -i Accepted /var/log/secure para localizar endereços IP de logins remotos bem-sucedidos.

• Verifique tarefas cron suspeitas:

  cat /var/spool/cron/
  cat /etc/cron.hourly
  cat /etc/crontab

• Execute find / -ctime 1 para encontrar arquivos modificados recentemente e localizar o trojan.

• Inspecione os arquivos /etc/passwd e /etc/shadow em busca de contas de usuário suspeitas.

• Verifique os diretórios /tmp, /var/tmp e /dev/shm à procura de arquivos de trojan. Atacantes visam esses locais porque geralmente possuem permissões 1777.

• Analise logs de serviços expostos à internet (Tomcat, NGINX) para detectar entradas anormais.

• Execute service --status-all | grep running para verificar anomalias nos serviços em execução.

• Execute chkconfig --list | grep :on para checar irregularidades nos serviços de inicialização automática.

• Execute ls -lt /etc/init.d/ | head para identificar scripts de inicialização anômalos.

Etapa 3: Comandos de diagnóstico