Comandos Esenciales de Linux para Detectar Procesos de Minado

Terminal de Linux con monitoreo de procesos y detección de actividad sospechosa

El minado no autorizado de criptomonedas (cryptojacking) se ha convertido en una amenaza común en servidores Linux. Los atacantes aprovechan recursos del sistema para minar criptomonedas sin consentimiento, degradando el rendimiento. Estos comandos te ayudarán a identificar actividad sospechosa.

1. Monitoreo de Procesos en Tiempo Real

top y htop son tus primeras líneas de defensa:

top
# Presiona Shift+P para ordenar por uso de CPU
# Presiona Shift+M para ordenar por uso de memoria

Los mineros suelen consumir entre 80-100% de CPU de forma sostenida. Busca procesos desconocidos con nombres aleatorios o ubicaciones inusuales como /tmp/ o /var/tmp/.

2. Listar Procesos con Alto Consumo

Identifica los principales consumidores de recursos:

# Top 10 procesos por CPU
ps aux --sort=-%cpu | head -11

# Top 10 procesos por memoria
ps aux --sort=-%mem | head -11

Investiga cualquier proceso que no reconozcas o que tenga nombres sospechosos como cadenas alfanuméricas aleatorias.

3. Detectar Conexiones de Red Sospechosas

Los mineros deben comunicarse con pools de minería:

# Ver conexiones establecidas
netstat -tunap | grep ESTABLISHED

# O usando ss (más moderno)
ss -tunap | grep ESTAB

Busca conexiones a puertos comunes de pools de minería: 3333, 4444, 5555, 7777, 8888, 14444, o direcciones IP extranjeras desconocidas.

4. Buscar Binarios Conocidos de Minado

Muchos mineros usan nombres predecibles:

# Buscar ejecutables sospechosos
find / -name "*xmrig*" -o -name "*minerd*" -o -name "*cpuminer*" 2>/dev/null

# Buscar procesos con estos nombres
pgrep -fa "xmrig|minerd|cpuminer|cryptonight"

5. Analizar Tareas Programadas

Los atacantes suelen usar cron para persistencia:

# Revisar crontabs de todos los usuarios
cat /etc/crontab
ls -la /etc/cron.*
crontab -l  # Usuario actual

Busca scripts que descarguen archivos de internet o ejecuten comandos desde /tmp/.

6. Verificar Inicio del Sistema

Revisa servicios que se ejecutan al arranque:

# Listar servicios habilitados
systemctl list-unit-files | grep enabled

# Verificar servicios sospechosos
systemctl status nombre_servicio_sospechoso

7. Monitoreo de Actividad de Red

Identifica tráfico inusual:

# Ver ancho de banda por proceso
nethogs

# Monitorear conexiones en tiempo real
iftop

Nota: Puede requerir instalación previa de estas herramientas.

8. Buscar Archivos Modificados Recientemente

Los atacantes dejan rastros en el sistema de archivos:

# Archivos modificados en las últimas 24 horas en /tmp
find /tmp -type f -mtime -1 -ls

# Archivos ejecutables recientes
find / -type f -executable -mtime -7 2>/dev/null

Señales de Alerta Clave

CPU constantemente al 100% sin razón aparente
Ventiladores a máxima velocidad en servidores físicos
Procesos con nombres aleatorios (ej: kthreaddk, systemd-login, bioset)
Conexiones a IPs asiáticas o desconocidas en puertos no estándar
Scripts en /tmp o /dev/shm que se autodescargan
Alto uso de red durante periodos de inactividad

Acción Inmediata al Detectar Minado

Detener el proceso: kill -9 PID
Eliminar el binario: rm -f /ruta/del/minero
Limpiar cron: Eliminar entradas maliciosas
Revisar usuarios: cat /etc/passwd para cuentas sospechosas
Cambiar credenciales: Especialmente si hay acceso SSH comprometido
Actualizar sistema: apt update && apt upgrade o equivalente

Prevención

Mantén el sistema actualizado
Usa contraseñas fuertes y autenticación por clave SSH
Implementa fail2ban para prevenir fuerza bruta
Monitorea regularmente con estas herramientas
Configura alertas automáticas de uso de CPU

La detección temprana es crucial. Un chequeo semanal de estos comandos puede ahorrarte costos significativos en recursos computacionales y energía eléctrica.