Security Center:Virus detection and removal

Capacidades principais

• Escopo de detecção: Abrange itens essenciais de varredura, como processos, itens de inicialização, tarefas agendadas e diretórios sensíveis.

• Métodos de tratamento: Suporta quarentena automática, varredura profunda e remoção, gerenciamento de lista de permissões e outras ações de correção.

• Métodos de varredura: Suporta varredura imediata e periódica.

Casos de uso

• Verificações de segurança regulares: Execute inspeções de segurança agendadas e remova ameaças.

• Resposta a emergências: Atue rapidamente e conduza análises forenses após um incidente de segurança.

• Reforço de conformidade: Atenda aos requisitos de auditoria de conformidade e fortaleça a segurança do sistema.

Tipos de vírus e itens de varredura suportados

• Tipos de vírus: Ransomware, programas de criptomineração, trojans DDoS, trojans, backdoors, programas maliciosos, programas de alto risco, worms, programas suspeitos e trojans de automutação.

• Itens de varredura: Processos ativos, processos ocultos, processos do docker, módulos de kernel, programas instalados, sequestro de bibliotecas dinâmicas, services, tarefas agendadas, itens de inicialização e diretórios sensíveis.

Lista de verificação pré-correção

Antes de escolher um método de resposta, acesse o servidor para verificar o arquivo suspeito e avaliar o possível impacto em seus services.

1. Confirme as informações do arquivo: Verifique o caminho, a assinatura e o hash do arquivo para confirmar se é malicioso e evitar a remoção acidental de arquivos críticos.

2. Verifique processos e propriedade: Determine se services críticos, como nginx ou mysql, utilizam o arquivo.

3. Avalie o impacto no negócio: Confirme se o arquivo faz parte de uma aplicação de negócio e se a remoção afetará os services em execução.

Escolha um método de tratamento

Na lista de alertas, encontre o alerta de destino e clique em Handle para selecionar uma ação com base na sua avaliação. Clique na seta à esquerda de um alerta para visualizar detalhes, como o caminho do arquivo de vírus.

Os detalhes expandidos também incluem Malicious File MD5 e Process ID.

Ative as notificações de alerta

Configure as notificações de alerta na página System Settings > Notification Settings para notificar os responsáveis por e-mail, SMS ou DingTalk quando ameaças de alto risco forem detectadas. Para mais informações, consulte Notification Settings.

Na área de configuração de notificações de Security Alerts, defina as seguintes opções:

• Notification Time: Selecione 24 Hours ou 8:00 - 20:00.

• Deep Cleanup: Selecione Urgent, Suspicious ou Notice conforme necessário.

• Notification Method: Selecione SMS, Email ou Internal Message conforme necessário.

Otimização de desempenho e resposta a incidentes

• Otimização de desempenho:

  • Para servidores de baixa especificação (por exemplo, 1-core CPU and 1 GB of memory), execute uma Quick Scan fora do horário de pico e desative o Memory Check para reduzir o consumo de recursos.

  • Em varreduras de grande escala, execute a tarefa em lotes ou exclua grandes diretórios de log e backup nas Scan Settings para reduzir o tempo de varredura.

• Processo de resposta a emergências:

  1. Isolamento imediato: Ao detectar uma ameaça de alto risco, use regras de grupo de segurança para bloquear portas anormais ou restrinja o acesso apenas ao IP do seu escritório, evitando que invasores continuem controlando o servidor.

  2. Backup forense: Crie um snapshot do servidor e faça backup de logs importantes, como /var/log/secure e /var/log/cron.

  3. Varredura profunda e remoção: Use o recurso Deep Scan and Removal no Security Center para remover processos maliciosos, webshells e mecanismos de persistência, como tarefas agendadas do Crontab, chaves públicas SSH ~/.ssh/authorized_keys e sequestro de bibliotecas dinâmicas.

  4. Correção de vulnerabilidades: Verifique e corrija vulnerabilidades do sistema e de aplicações. Altere todas as senhas fracas para senhas fortes.

  5. Reforço de segurança: Ative o Concerned Level para interceptação proativa (consulte Malicious Host Behavior Prevention para detalhes). Restrinja os IPs de logon remoto e abra apenas as portas necessárias.

  6. Monitoramento contínuo: Monitore continuamente o status do servidor para confirmar que a ameaça não retorne.

• Resposta de emergência a intrusões por senha fraca de SSH

  Se o seu servidor sofrer intrusão devido a uma senha fraca de SSH, execute imediatamente as seguintes ações:

  1. Altere a senha: Altere imediatamente a senha do root para uma senha complexa com letras maiúsculas, minúsculas, números e caracteres especiais. Altere-a regularmente.

  2. Verifique se há backdoors: Verifique se há processos anormais, contas desconhecidas, tarefas agendadas suspeitas e chaves públicas SSH. Remova quaisquer vestígios de intrusão.

     Se você encontrar um arquivo de chave pública SSH desconhecido no usuário root, como uma chave pública desconhecida em ~/.ssh/authorized_keys, isso geralmente indica a implantação de um trojan de criptomineração ou outro malware. Tome as seguintes ações:

     1. Verifique as chaves públicas no arquivo ~/.ssh/authorized_keys e exclua quaisquer chaves anormais não adicionadas por você.

     2. Use o recurso Malicious Host Behavior Prevention para verificar o servidor e procurar programas maliciosos associados à chave anormal.

     3. Reforce as verificações de linha de base do host e a segurança para evitar a implantação de chaves anormais.

     A exclusão da chave anormal e a execução da varredura de vírus são etapas de correção independentes e devem ser executadas separadamente. Não confie apenas na varredura de vírus para remover chaves SSH anormais.

  3. Bloqueie o invasor: Bloqueie o IP de source do invasor no grupo de segurança. Restrinja o acesso SSH e de área de trabalho remota apenas a IPs confiáveis.

  4. Limpeza completa: Se não for possível confirmar o escopo da intrusão, faça backup dos dados de negócio, inicialize o disco do sistema e reimplante o negócio. No console do ECS, encontre a instância correspondente, clique no nome da instância e selecione Initialize Disk em All Operations no canto superior direito (a instância deve estar parada).

• Correção da causa raiz:

  Se o servidor for infectado repetidamente ou o vírus tiver penetrado profundamente no sistema, tome as seguintes medidas:

  • Faça backup dos seus dados de negócio e redefina o disco do sistema. No console do ECS, encontre a instância correspondente e selecione Initialize Disk em All Operations (a instância deve estar parada).

    Aviso

    Esta é uma operação de alto risco. Prossiga com cautela após uma avaliação abrangente.

  • Antes de reimplantar o negócio, conclua o reforço de segurança (altere senhas, feche portas desnecessárias e instale os patches mais recentes).

  • Crie backups regulares de snapshots para uma recuperação rápida caso o sistema seja comprometido.

Recomendações de reforço de segurança

Para proteger os servidores de ataques futuros, implemente as seguintes medidas de reforço e aumente a dificuldade para os invasores.

• Ative o Deep Cleanup

  Ative este recurso na página Protection Configuration > Host Protection > Malicious Host Behavior Prevention. Ele bloqueia proativamente comportamentos maliciosos de vírus comuns, incluindo trojans, ransomware, programas de criptomineração e trojans DDoS. Para mais informações, consulte Malicious Host Behavior Prevention.

• Reforço de segurança do servidor

  • Atualize a edição do Security Center: As edições Enterprise e Ultimate suportam o isolamento automático de vírus (detecção e remoção automática), fornecendo capacidades de defesa precisas e mais itens de detecção de segurança.

  • Reforce o controle de acesso: Abra apenas as portas de negócio necessárias (como 80 e 443) e configure políticas estritas de acesso por lista de permissões de IP para portas de gerenciamento (como 22 e 3389) e portas de banco de dados (como 3306).

    Nota

    Para servidores ECS da Alibaba Cloud, consulte Manage security groups para obter as instruções.

  • Defina senhas complexas para o servidor: Defina senhas complexas com letras maiúsculas, minúsculas, números e símbolos especiais para servidores e aplicações.

  • Atualize o software: Atualize prontamente o software da aplicação para a versão oficial mais recente e evite o uso de versões desatualizadas, sem manutenção ou com vulnerabilidades de segurança conhecidas.

  • Backups regulares: Crie uma política de snapshot regular para dados importantes e discos do sistema do servidor.

    Nota

    Para servidores ECS da Alibaba Cloud, consulte Create policy para obter as instruções.

  • Corrija vulnerabilidades prontamente: Use regularmente o recurso Vulnerability Management do Security Center para corrigir vulnerabilidades do sistema e de aplicações.

  • Redefina o sistema do servidor (Use com cautela).

    Se a intrusão do vírus for profunda e envolver componentes subjacentes do sistema, redefina o sistema do servidor após fazer backup de dados importantes. Siga estas etapas:

    1. Crie um snapshot para fazer backup de dados importantes no servidor. Para mais informações, consulte Manually create a single snapshot.

    2. Inicialize o sistema operacional do servidor. Para mais informações, consulte Re-initialize system disk (reset OS).

    3. Crie um disco em cloud a partir do snapshot. Para mais informações, consulte Create a data disk from a snapshot.

    4. Anexe o disco em cloud ao servidor após reinstalar o sistema. Para mais informações, consulte Attach a data disk.

Perguntas sobre lista de permissões e ignorar

• Como removo um item de uma lista de permissões?

  O módulo de detecção e remoção de vírus não suporta a remoção de itens da lista de permissões. Acesse Malicious Host Behavior Prevention > Alert, encontre o alerta tratado e remova-o da lista de permissões. Para mais informações, consulte Cancel alert whitelisting.

  Nota

  Se você adquiriu o service Agentic SOC, escolha Agentic SOC (Legacy) > Agentic SOC (Legacy) .

• Qual é a diferença entre adicionar à lista de permissões e ignorar um alerta?

  Item de comparação	Adicionar à lista de permissões	Ignorar
  Caso de uso	Falso positivo confirmado, e você deseja parar permanentemente de receber esses alertas.	Falso positivo temporário ou esporádico, ou um risco conhecido e aceitável.
  Escopo de impacto	O sistema não gera mais alertas com características correspondentes (mesmo ativo + mesmo caminho de arquivo + mesmo MD5). Apenas o horário da última ocorrência é atualizado.	Aplica-se apenas ao alerta atual. Se a mesma ameaça reaparecer, o sistema gerará um novo alerta.
  Reversível	É possível cancele a entrada da lista de permissões na lista de tratados em Alert > Detection and Response.	Nenhuma reversão é necessária. Ignorar um alerta não afeta a detecção futura; o sistema continua monitorando a mesma ameaça.

Perguntas sobre detecção de vírus e tratamento de alertas

• Qual é a diferença entre Detecção e remoção de vírus e Alerta de Segurança?

  • O módulo Detecção e remoção de vírus foca em detectar e remover arquivos maliciosos, fornecendo capacidades de varredura profunda e correção especializada.

  • O Alerta de Segurança é um centro de alertas unificado que consolida todos os eventos de segurança, incluindo vírus, logons incomuns, ataques de rede e vulnerabilidades.

  Nota

  • Os alertas deste recurso sincronizam bidirecionalmente com o módulo Security Alert. Trate os alertas em qualquer um dos módulos.

  • O recurso de detecção e remoção de vírus serve apenas para detectar e limpar arquivos maliciosos. Após a remoção, se nenhum risco for confirmado, o sistema geralmente não aciona bloqueios. Se você ainda enfrentar problemas de acesso, verifique as regras do grupo de segurança, os firewalls internos do servidor e outras possíveis causas.

• Por que os vírus reaparecem após a correção?

  Causas comuns:

  • A causa raiz não foi resolvida: Senhas fracas ou vulnerabilidades não corrigidas permitem que invasores recuperem o acesso.

  • Limpeza incompleta: Backdoors ocultos ou mecanismos de persistência não foram totalmente removidos.

  • Source de dados contaminada: Dados restaurados de um backup ou imagem infectada.

  Solução:

  • Siga as security hardening recommendations para fortalecer a postura de segurança.

  • Após a correção, reinicie o servidor e suas aplicações para encerrar processos maliciosos que permaneceram na memória.

    Aviso

    • A reinicialização de um servidor causa uma breve interrupção do service. Sites, aplicações e services dependentes ficam inacessíveis. Execute esta operação fora do horário de pico.

    • Algumas aplicações podem exigir uma reinicialização manual se não estiverem configuradas para inicialização automática ou dependerem de variáveis de ambiente específicas. Avalie o plano de reinicialização com antecedência, especialmente para services como filas de mensagens.

• Como trato vários alertas ao mesmo tempo?

  • Os alertas de vírus gerados pelo módulo Alert > Protection Configuration > Host Protection suportam tratamento em lote.

    1. Na página de detecção e remoção de vírus, selecione os alertas a serem tratados clicando na caixa de seleção à esquerda.

    2. No canto inferior esquerdo, clique no botão Virus Detection and Removal e selecione um método de resposta apropriado.

  • O módulo Detection and Response > Detection and Response suporta a inclusão em lista de permissões e a ação de ignorar em lote.

    1. Na página de Alerta de Segurança, selecione os alertas a serem tratados clicando na caixa de seleção à esquerda.

    2. No canto inferior esquerdo, clique em Alert ou Ignore This Time.

• O que faço se um alerta indicar que um arquivo não existe?

  O vírus pode ter sido removido por outro método ou ter excluído seus próprios rastros. Clique em "Ignore" ou "Manually Handled" para dispensar o alerta.

• Por que os alertas de vírus continuam sendo enviados após a remoção do vírus?

  O Security Center retém registros históricos de ameaças (o período de retenção é de cerca de 1 ano). Mesmo após a limpeza do arquivo de vírus, os registros históricos de alertas permanecem. Se você não executar ações como "Ignore" ou "Manually Handled" nos alertas, o sistema poderá continuar enviando notificações.

  Solução:

  • Após confirmar a limpeza do vírus, execute Ignore ou Manually Handled nos alertas relevantes na lista de alertas.

  • Se você ainda receber alertas de logon anormal para um IP antigo após alterar o IP público, confirme se o horário do alerta é anterior à alteração do IP. Ignore-o com segurança e sincronize as informações mais recentes do ativo.

• Como soluciono problemas de comandos maliciosos executados por meio de um banco de dados?

  O recurso de varredura antivírus no Security Center detecta principalmente arquivos maliciosos, processos e mecanismos de persistência na camada de host do servidor. Uma varredura sem anomalias não significa que não exista risco de segurança na camada do banco de dados, onde comandos maliciosos podem ser executados.

  Verifique se o banco de dados possui senhas fracas e reforce-as prontamente. Se o banco de dados fornecer services externos por meio de uma aplicação web, use o Web Application Firewall (WAF) para fortalecer a proteção contra ataques na camada de aplicação.

• Por que um evento de controle de segurança não é limpo imediatamente após a correção do vírus?

  Após o uso do recurso de varredura antivírus no Security Center para remover anomalias e alterar a senha do servidor, o evento de controle de segurança não é limpo imediatamente.

  Continue monitorando o servidor e as notificações relacionadas. Se não receber mais notificações sobre esse evento de controle de segurança, considere-o tratado.

• Por que alertas antigos ainda aparecem após eu reinstalar o sistema operacional?

  Após a reinstalação do sistema operacional, o Security Center pode reter resultados de varredura anteriores e registros de alertas. Para obter o status de segurança mais recente e limpar alertas antigos, acione manualmente uma varredura clicando em Add to Whitelist ou Immediate Scan. Após a conclusão da varredura, o sistema atualiza os resultados de detecção com base no novo ambiente. Alertas inativos antigos são limpos ou têm seu status atualizado.

• Como soluciono problemas de um backdoor persistente (o vírus continua reaparecendo ou não pode ser removido)?

  Se um vírus continua reaparecendo ou não pode ser completamente removido, pode existir um backdoor persistente. Verifique os seguintes itens um por um:

  • Tarefas agendadas: Verifique o crontab (Linux) ou o Agendador de Tarefas (Windows) para confirmar se existem tarefas agendadas suspeitas.

  • Itens de inicialização: Verifique os itens de inicialização (Linux: /etc/init.d/, services systemd; Windows: itens de inicialização do registro) para confirmar se existem programas suspeitos.

  • Chaves públicas SSH: Verifique o arquivo ~/.ssh/authorized_keys para confirmar se existem chaves públicas SSH desconhecidas.

  • Arquivos ocultos: Alguns arquivos de vírus podem estar localizados em diretórios de sistema ocultos (por exemplo, o diretório da Lixeira do Windows $Recycle.Bin). Para visualizá-los, ative a exibição de arquivos ocultos e de sistema como administrador. O agente do Security Center verifica em baixo nível para obter caminhos de arquivos e não sofre restrição pela visibilidade do sistema de arquivos.

• A detecção e remoção de vírus suporta o aplicativo da Alibaba Cloud em dispositivos móveis?

  Não. Os recursos de detecção e remoção de vírus e tratamento de alertas de segurança estão disponíveis apenas através do console web do Security Center. O aplicativo móvel da Alibaba Cloud não suporta detecção, remoção ou tratamento de alertas de vírus.

• O que é um alerta de Rootkit e como verifico se ele foi resolvido?

  Um alerta de Rootkit é acionado quando o Security Center detecta um programa malicioso no host. Não está relacionado ao recurso antirransomware — trate-o como uma detecção separada de programa malicioso, não como um evento relacionado a ransomware.

  Para verificar se o programa malicioso foi removido após tratar um alerta de Rootkit, acesse o console do Security Center, vá para Protection Configuration > Protection Configuration > Host Protection, e execute uma varredura no servidor afetado. Se a varredura não detectar mais o arquivo anormal, a remoção foi bem-sucedida.

Perguntas sobre varredura e execução de tarefas

• O que faço se uma tarefa de varredura falhar ou atingir o timeout?

  • Timeout da tarefa: Geralmente causado por um diretório de varredura personalizado muito grande. Soluções:

    • Divida grandes varreduras em várias tarefas de Custom Directory Scan direcionadas a diretórios de alto risco, como /tmp, /var/tmp e /root.

    • Exclua grandes diretórios de log ou de dados na configuração de varredura.

    • Execute varreduras fora do horário de pico.

  • Falha na tarefa:

    1. Verifique o status do agente: Certifique-se de que o agente do Security Center (AliYunDun) está em execução e online.

    2. Verifique a conectividade de rede: Teste se o servidor consegue alcançar o endpoint do Security Center.

    3. Verifique os recursos do sistema: Certifique-se de que /tmp tenha pelo menos 1 GB de espaço livre em disco e que a CPU e a memória não estejam esgotadas.

    4. Visualize os logs do agente: O caminho do log em um servidor Linux é /usr/local/aegis/aegis_client/aegis_10_*/log/aegis.log.

• O que faço se a correção de vírus falhar?

  Atualize a página e tente novamente. Se a falha persistir, clique em "Manually Handled" e exclua o arquivo manualmente. Se a exclusão falhar com "Operation not permitted", o arquivo pode ter o atributo i (imutável). Execute chattr -i <file> para removê-lo e, em seguida, exclua o arquivo.

Perguntas sobre compatibilidade do sistema e configuração de ferramentas

• Onde posso verificar a versão do banco de dados de assinaturas de vírus?

  Visualize o horário de atualização do banco de dados de assinaturas de vírus na página Overview. O banco de dados de assinaturas de vírus baseado em cloud é atualizado automaticamente em tempo real; nenhuma ação manual é necessária.

  O lado direito da página Overview também exibe o Cloud Scan Time (Latest Time).

• Por que a página de detecção e remoção de vírus ocasionalmente mostra uma página de erro (sem botão de nova varredura)?

  Isso geralmente ocorre devido a permissões insuficientes da conta RAM. Ao usar este recurso pela primeira vez, o sistema pode solicitar a autorização de uma função vinculada a service do Security Center. Clique em Authorize Now (o botão azul de autorização) na página para concluir a autorização e usar o recurso normalmente.

  Se você já autorizou, mas ainda vê a página de erro, confirme se a conta RAM atual tem permissões de acesso total ao Security Center. Se necessário, entre em contato com o administrador da conta principal para conceder as permissões necessárias.

• Posso instalar software antivírus de terceiros (360/Huorong)?

  Sim, mas podem ocorrer problemas de compatibilidade. Adicione os processos e diretórios do agente do Security Center (consulte Processes of the Security Center agent) à lista de permissões do software de terceiros para evitar falsos positivos.

  Para servidores Windows que recebem continuamente alertas de vírus, use um software antivírus de terceiros para uma varredura de disco completo como método suplementar de solução de problemas. Recomendamos o 360 Antivirus Speed Edition ou Huorong Antivirus para uma varredura completa. Verifique também a configuração do firewall interno do servidor (como Windows Firewall, iptables ou firewalld) para descartar problemas de acesso causados por regras de firewall.

• O que faço se a página não responder após eu clicar em Authorize Now?

  Se a página continuar carregando ou não responder após o clique em Authorize Now, a causa pode ser flutuação de rede ou cache do navegador. Atualize a página e entre novamente no console de Virus Detection and Removal para verificar o status da autorização. Se a falha persistir, tente limpar o cache do navegador, usar o modo anônimo (navegação privada) ou mudar para um navegador diferente.

• O que faço se a página de Detecção e Remoção de Vírus mostrar 0 ativos ou indicar que nenhuma edição paga está vinculada?

  Se a página Virus Detection and Removal mostrar 0 ativos ou indicar que nenhuma edição paga está vinculada, solucione o problema da seguinte forma:

  • Configuração de proteção: Certifique-se de que o servidor de destino esteja vinculado a uma versão ou nível de proteção pago. Para mais informações, consulte Manage servers.

    • Assinatura: Virus Detection and Removal ou superior. Para etapas detalhadas, consulte Configure protection editions or levels.

    • Pagamento conforme o uso: Anti-virus ou superior. Para etapas detalhadas, consulte Configure protection editions or levels.

  • Verificação do status do agente: Certifique-se de que o agente do Security Center no servidor de destino esteja online e com a versão normal. Se o agente estiver offline, reinstale-o ou reinicie-o.

• O que faço se apenas as opções "Add to Whitelist" e "Ignore" estiverem disponíveis ao tratar um alerta?

  Alguns alertas podem mostrar apenas as opções "Add to Whitelist" e "Ignore", sem as opções "Kill Process" e "Virus Detection and Removal". Isso geralmente ocorre porque o processo malicioso ainda está em execução e o sistema não pode tratá-lo diretamente.

  Solução: Primeiro, selecione "Kill Process" (se disponível), atualize a página e tente novamente para obter o conjunto completo de opções de tratamento. Se isso não resolver o problema, consulte as etapas de solução de problemas de "falha na correção de vírus" acima para tratá-lo manualmente e, em seguida, clique em "Manually Handled".