注册
登录
| 关键词： 病毒 文件 安恒 服务器 外联 进程 EDR 加固 bffbe 隔离 |
随着企业上云进程的不断推进，无处不在的挖矿病毒也将攻击目标锁定在企业云与数据中心。企业云及数据中心拥有庞大数量的工业级硬件，一旦被挖矿病毒成功侵入，就会快速组建数量庞大的挖矿网络，利用更多的高性能挖矿主机，牟取更大的暴利。 近期，云平台bffbe挖矿事件呈爆发式增长，常见的现象包含占用超高CPU、进程查杀后自启动、病毒源文件存放在较多位置难以清除等。如果您的服务器资源消耗情况异常，就需要密切关注了。 下面，我们分享一起bffbe挖矿处置的案例，看安恒EDR如何快速、高效地破解。 bffbe挖矿处置 某客户发现，自己的云平台服务器疑似被挖矿木马入侵，导致cpu占用逼近临界值，急需解决，否则将进一步对业务正常运行造成影响。该客户紧急联系了安恒信息的工程师，通过安装安恒EDR进行安全处置。 1、登录服务器，发现未知进程占用了98.9%的CPU，消耗了超高的服务器性能。 2、在该服务器上安装安恒EDR客户端，并在EDR管控中心开启文件访问控制，查看日志可以看到告警病毒文件/root/.bffbe被创建和改写。  3、通过对该服务器进行病毒查杀，扫描出病毒文件/root/.bffbe和/opt/bffbe。  查看恶意程序，可以看到该程序是通过base64加密处理过的，加密的内容解密后可以明显看到该程序的外联行为。   4、使用安恒EDR病毒扫描功能对病毒文件进行隔离并删除操作。 5、检查定时任务，crontab -l可以看到被病毒文件改写的定时任务，手动删除该定时任务。  进入/etc/cron.d/，删除0bffbe文件。  6、从解密的病毒文件中还可看到恶意程序守护进程相关的信息存放在/tmp/.X11-unix下，进入该目录可查看恶意进程的ID，手动删除该文件并kill相关进程。   7、删除ssh免密登录。 cd /root/.ssh/ rm -rf authorized_keys 8、该挖矿病毒往往是利用 Redis 漏洞，需要修复漏洞并按以下步骤操作。 1) 为 Redis 添加密码验证 2) 禁外访问 Redis 3) 以低权限运Redis服务 4) 重启redis使上述步骤生效 安恒EDR加固建议 如何对服务器进行加固？利用安恒EDR，分这几步走： 1、配置定期巡检，定期扫描弱口令、病毒、漏洞，并根据扫描结果进行处置。  2、配置微隔离，阻断高危端口，阻断病毒传播途径。  3、配置违规外联，阻断异常外联行为。  安恒EDR简介 安恒EDR是一款集成了丰富的系统防护与加固、网络防护与加固等功能的主机安全产品。安恒EDR通过自主研发的文件诱饵引擎，有着业界领先的勒索专防专杀能力；通过内核级东西向流量隔离技术，实现网络隔离与防护；拥有补丁修复、外设管控、文件审计、违规外联检测与阻断等主机安全能力。 作为一款主机安全产品，对多种网络安全防护能力进行了集成，拥有极强的兼容性，并能够和多款产品形成联动，满足多场景下应用以及不同用户的安全需求。目前，安恒EDR已全面应用于政府、公安、医疗等行业，对数据进行了全方位的防护，满足了客户对于终端管控的需求，很好地解决了数据外泄和风险入侵等问题。 
 |
| 本文出处： https://www.toutiao.com/a6820595775429411342/ |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
