Comandos Esenciales de Linux para Detectar Procesos de Minado

El minado no autorizado de criptomonedas (cryptojacking) se ha convertido en una amenaza común en servidores Linux. Los atacantes aprovechan recursos del sistema para minar criptomonedas sin consentimiento, degradando el rendimiento. Estos comandos te ayudarán a identificar actividad sospechosa.

1. Monitoreo de Procesos en Tiempo Real

top y htop son tus primeras líneas de defensa:

top
# Presiona Shift+P para ordenar por uso de CPU
# Presiona Shift+M para ordenar por uso de memoria

Los mineros suelen consumir entre 80-100% de CPU de forma sostenida. Busca procesos desconocidos con nombres aleatorios o ubicaciones inusuales como /tmp/ o /var/tmp/.

2. Listar Procesos con Alto Consumo

Identifica los principales consumidores de recursos:

# Top 10 procesos por CPU
ps aux --sort=-%cpu | head -11

# Top 10 procesos por memoria
ps aux --sort=-%mem | head -11

Investiga cualquier proceso que no reconozcas o que tenga nombres sospechosos como cadenas alfanuméricas aleatorias.

3. Detectar Conexiones de Red Sospechosas

Los mineros deben comunicarse con pools de minería:

# Ver conexiones establecidas
netstat -tunap | grep ESTABLISHED

# O usando ss (más moderno)
ss -tunap | grep ESTAB

Busca conexiones a puertos comunes de pools de minería: 3333, 4444, 5555, 7777, 8888, 14444, o direcciones IP extranjeras desconocidas.

4. Buscar Binarios Conocidos de Minado

Muchos mineros usan nombres predecibles:

# Buscar ejecutables sospechosos
find / -name "*xmrig*" -o -name "*minerd*" -o -name "*cpuminer*" 2>/dev/null

# Buscar procesos con estos nombres
pgrep -fa "xmrig|minerd|cpuminer|cryptonight"

5. Analizar Tareas Programadas

Los atacantes suelen usar cron para persistencia:

# Revisar crontabs de todos los usuarios
cat /etc/crontab
ls -la /etc/cron.*
crontab -l  # Usuario actual

Busca scripts que descarguen archivos de internet o ejecuten comandos desde /tmp/.

6. Verificar Inicio del Sistema

Revisa servicios que se ejecutan al arranque:

# Listar servicios habilitados
systemctl list-unit-files | grep enabled

# Verificar servicios sospechosos
systemctl status nombre_servicio_sospechoso

7. Monitoreo de Actividad de Red

Identifica tráfico inusual:

# Ver ancho de banda por proceso
nethogs

# Monitorear conexiones en tiempo real
iftop

Nota: Puede requerir instalación previa de estas herramientas.

8. Buscar Archivos Modificados Recientemente

Los atacantes dejan rastros en el sistema de archivos:

# Archivos modificados en las últimas 24 horas en /tmp
find /tmp -type f -mtime -1 -ls

# Archivos ejecutables recientes
find / -type f -executable -mtime -7 2>/dev/null

Señales de Alerta Clave

• CPU constantemente al 100% sin razón aparente
• Ventiladores a máxima velocidad en servidores físicos
• Procesos con nombres aleatorios (ej: kthreaddk, systemd-login, bioset)
• Conexiones a IPs asiáticas o desconocidas en puertos no estándar
• Scripts en /tmp o /dev/shm que se autodescargan
• Alto uso de red durante periodos de inactividad

Acción Inmediata al Detectar Minado

1. Detener el proceso: kill -9 PID
2. Eliminar el binario: rm -f /ruta/del/minero
3. Limpiar cron: Eliminar entradas maliciosas
4. Revisar usuarios: cat /etc/passwd para cuentas sospechosas
5. Cambiar credenciales: Especialmente si hay acceso SSH comprometido
6. Actualizar sistema: apt update && apt upgrade o equivalente

Prevención

• Mantén el sistema actualizado
• Usa contraseñas fuertes y autenticación por clave SSH
• Implementa fail2ban para prevenir fuerza bruta
• Monitorea regularmente con estas herramientas
• Configura alertas automáticas de uso de CPU

La detección temprana es crucial. Un chequeo semanal de estos comandos puede ahorrarte costos significativos en recursos computacionales y energía eléctrica.

Imagen generada con IA
© Copyright: Natalia Jaimes