Security Center：處理挖礦程式最佳實務

Linux系統

1. 阻斷惡意網路通訊。

   在發現主機存在挖礦行為後，由於完整地處理整個挖礦事件的周期比較長，所以為了及時控制挖礦影響，需要首先阻斷挖礦木馬的網路通訊行為。

   1. 執行以下命令，查看當前系統網路連接狀態。

      netstat -antp

      

   2. 將以下命令中c2地址替換為正常業務不會使用的可疑遠程地址（Foreign Address），然後執行下述命令添加防火牆規則，阻斷伺服器與該可疑地址之間的所有網路連接。

      iptables -A INPUT -s c2地址 -j DROP
      iptables -A OUTPUT -d c2地址 -j DROP

2. 清除計劃任務。

   挖礦木馬常通過計劃任務實現定期下載（更新）並啟動挖礦木馬，如果僅清理挖礦進程、挖礦木馬檔案，並不能根治挖礦程式，且會出現挖礦反覆的情況。

   排查以下計劃任務檔案，刪除計劃任務中的挖礦木馬下載和啟動任務。

   • 查看目前使用者或指定使用者（username）的計劃任務。

     crontab -l
     crontab -u username -l

   • 主機所有計劃任務檔案。

     /etc/crontab
     /var/spool/cron/
     /etc/anacrontab
     /etc/cron.d/
     /etc/cron.hourly/
     /etc/cron.daily/
     /etc/cron.weekly/
     /etc/cron.monthly/

3. 清除自啟動服務項。

   1. 執行以下命令，排查系統所有自啟動服務。

      systemctl list-unit-files | grep enabled

   2. 找到對應可疑服務的單元檔案，排查服務詳細資料。

      將命令中*替換為服務名稱，<service_unit_name>替換為服務的單元檔案名稱。

      ls -al /etc/systemd/system/*.service
      ls -al /usr/lib/systemd/system/*.service
      
      # 查看服務詳細資料（服務啟動的進程檔案）
      cat /etc/systemd/system/<service_unit_name>.service

   3. 如果發現惡意的自啟動服務項，使用以下命令禁用服務，刪除對應單元檔案。

      將命令中<service name>替換為服務名稱，<service_unit_name>替換為服務的單元檔案名稱。

      systemctl disable <service name>
      rm /etc/systemd/system/<service_unit_name>.service
      rm /usr/lib/systemd/system/<service_unit_name>.service

   4. 排查以下服務路徑是否有自啟動服務，然後參考以上步驟進行清理。

      /etc/rc.local
      /etc/inittab
      /etc/rc.d/
      /etc/init.d/

4. 清除SSH公開金鑰。

   挖礦木馬通常會將駭客SSH公開金鑰寫入~/.ssh/authorized_keys檔案中，以便駭客可以通過SSH免密登入受害主機，重新植入惡意檔案。您需要排查~/.ssh/authorized_keys檔案，如果發現可疑公開金鑰，立即刪除。

5. 清除.so劫持。

   通過/etc/ld.so.preload檔案設定預先載入的.so檔案，可以劫持常見的系統命令，例如top/ps/netstat等，達到隱藏挖礦進程的目的。

   1. 執行以下命令，排查預先載入的.so檔案。

      cat /etc/ld.so.preload

   2. 執行以下命令，刪除預先載入劫持。

      echo > /etc/ld.so.preload

6. 清除惡意帳號。

   部分挖礦木馬家族會建立新的後門帳號，以達到長期控制受害主機的目的。執行以下命令，查看惡意帳號，然後手動刪除相關帳號資訊。

   • 通過日誌查看近期是否有建立帳號行為。

     cat /var/log/audit/audit.log | grep useradd
     # 或者
     cat /var/log/secure | grep 'new user'

   • 通過/etc/passwd檔案查看是否有可疑帳號。

     cut -d: -f1 /etc/passwd

   • 通過賬戶的home目錄查看可疑賬戶的建立或最近活躍時間，需特別關注近期建立的home目錄。

     stat /home/guest/

7. 防修改對抗。

   部分挖礦木馬在寫入計劃任務、自啟動等持久化檔案後，會為對應檔案設定一個不可更改的屬性，防止對應持久化任務被刪除。

   

   如上圖，遇到此類情況可以執行以下命令，恢複檔案屬性後再刪除對應任務。

   chattr -i /etc/passwd
   chattr -i /etc/crontab

8. 清除挖礦木馬進程。

   1. 挖礦進程通常佔用較高的CPU，通過以下命令可以排查可疑的挖礦進程。

      • 排查佔用主機大量CPU的進程。

        top -c

        

        ps -eo pid,ppid,cmd,%cpu --sort=-%cpu | more

        

      • 排查異常網路連接行為。

        netstat -antp

        

      • 擷取可疑進程的檔案路徑。

        ls -al /proc/$PID/exe

      • 計算對應進程檔案的MD5資訊，在阿里雲威脅情報平台查詢對應檔案資訊。

        md5sum /proc/$PID/exe

        

   2. 執行以下命令，終止挖礦進程，並清理挖礦檔案。

      kill -9 $PID
      # 刪除 ls -al /proc/$PID/exe 擷取的進程路徑
      rm /path/to/executable

Linux系統（特定挖礦事件處理）

# 恢複被修改的命令
crondir='/var/spool/cron/'"$USER"
mv /bin/ps.original /bin/ps
mv /bin/top.original /bin/top
mv /bin/pstree.original /bin/pstree

# 恢複計劃任務檔案編輯許可權
chattr -R -ia /var/spool/cron
chattr -ia /etc/crontab
chattr -R -ia /var/spool/cron/crontabs
chattr -R -ia /etc/cron.d

# 刪除可疑計劃任務、載荷
sed -i '/upat.sh/d' /etc/crontab
rm -rf /etc/cron.d/httpd2
rm -rf /etc/upat.sh
rm -rf /tmp/upat.sh
rm -rf /etc/httpd2
rm -rf /tmp/httpd2

# 刪除可疑公開金鑰
sed -i '/cKtXBjj******hVI0K7b/d' ~/.ssh/authorized_keys
sed -i '/cKtXBjj******hVI0K7b/d' /root/.ssh/authorized_keys

Windows系統

1. 在PowerShell中執行以下命令，通過CPU佔用情況排查可疑的挖礦進程。

    ps | sort -des cpu
    While(1) {ps | sort -des cpu | select -f 15 | ft -a; sleep 1; cls}

2. 執行以下命令，查看挖礦進程的磁碟檔案、進程啟動命令的參數。

   wmic process where processid=xxx get processid,executablepath,commandline,name     //xxx表示進程pid

3. 結束挖礦進程，清除挖礦檔案。

4. 執行以下命令，檢查主機串連的可疑網路連接埠。

   netstat -ano | findstr xxx            // xxx表示可疑的網路連接埠

5. 執行以下命令，檢查伺服器中hosts檔案是否存在挖礦程式的礦池地址。

   type  C:\Windows\System32\drivers\etc\hosts

6. 執行以下命令，排查是否存在挖礦程式設定的計劃任務。

   schtasks /query