Existem procedimentos gerais de resposta a incidentes que você realmente deve seguir:
- Desconectar
- Avaliar
- Alterar informações de segurança
- Corrigir
- Normalizar
- Analisar
Desconectar:
Desde que você esteja conectado à rede, esses trojans podem continuar a alcançar os servidores C & C e gerar novas maldades.
Avalie:
Descubra o que está acontecendo. Talvez outros sistemas em sua rede também sejam afetados.
Alterar informações de segurança:
Você DEVE assumir que qualquer informação de segurança que você tenha neste servidor foi comprometida. Isso significa que todas as senhas, certificados, tokens, etc. que moram no servidor devem ser alterados, revogados ou se tornarem não confiáveis.
Corrigir:
Muitas vezes não vale a pena remover trojans. Em muitos casos, o malware moderno é extremamente resiliente às tentativas de remoção. Recrie o sistema ou restaure a partir de backups. Se estiver restaurando a partir de backups, lembre-se de fazer a varredura assim que a restauração estiver concluída - reverta ainda mais, se necessário.
Não sou imediatamente capaz de encontrar muitas informações sobre a remoção dos dois trojans identificados nos resultados da verificação. Isso é um pouco preocupante para mim. Eu recomendo strongmente a criação do zero sobre a remoção do trojan.
Normalize:
Reconecte-se à rede e verifique se tudo está funcionando como antes.
Analise:
Como você conseguiu o trojan? Alguém está fazendo algo errado? Você pode endurecer regras de firewall, políticas de segurança, atualização de software, etc. para melhorar sua postura daqui para frente?