Cryptominer instalat prin aplicația web, oprit în aceeași zi

Context

Un site public construit în Next.js, găzduit pe un VPS partajat cu alte proiecte. Consum de procesor constant la maxim, fără trafic care să justifice asta.

Problema

Un atacator obținuse execuție de cod prin aplicație și pornise un miner de criptomonedă. Procesul se reporni singur după fiecare oprire, iar jurnalele erau pline de user-agents care imitau crawlere legitime, ceea ce trimitea investigația pe o pistă greșită.

Ce am făcut

1. 01Identificarea procesului real și a lanțului prin care obținuse execuție
2. 02Blocarea traficului către infrastructura de mining la nivel de firewall, înainte de a curăța, ca să se oprească exfiltrarea
3. 03Căutarea persistenței în toate mecanismele obișnuite: cron, systemd, scripturi de profil, fișiere de shell, directoare temporare
4. 04Rotația tuturor secretelor accesibile din containerul compromis
5. 05Corectarea vectorului din aplicație și repornirea curată a stivei
6. 06Separarea alertelor reale de falsele pozitive generate de user-agents falsificate în jurnale