如何检测网络中的恶意挖矿软件

2021-11-25 09:21 黑客技术和网络安全
????????关注后回复 “进群” ,拉你进程序员交流群????????
来源丨安全牛


随着加密货币市值的一路飙升,恶意挖矿软件正在全球肆虐,比员工上班摸鱼更可怕的是,来自外部或内部的挖矿软件正在悄悄消耗着企业的IT资源,侵蚀企业利润。当不法分子通过 Web 服务器和浏览器劫持系统时,就会发生加密劫持(挖矿)。恶意 JavaScript 通常被注入或植入 Web 服务器,当用户访问网页时,浏览器就会被感染,将他们的计算机变成矿工。

 

检测恶意挖矿活动的方法有如下几种:


监控网络性能

首先,企业安全团队需要检查系统性能。终端用户可能会注意到 CPU 使用率过高、温度变化或风扇速度加快,这可能是业务应用程序编码不当的征兆,但也可能表明系统上存在隐藏的恶意软件,企业可以设置安全基线以更好地发现系统中的异常。不过,仅仅依靠性能异常来识别系统是否受影响也并不是万全之策。

 

最近的事件表明,攻击者正在限制对系统 CPU 的需求以隐藏其影响。例如,近期微软数字防御报告就指出越南威胁组织 BISMUTH 针对法国和越南的私营部门和政府机构,正在通过“融入”正常网络活动来避免检测。因为加密货币矿工往往被安全系统视为优先级较低的威胁,所以 BISMUTH 能够在不被注意的情况下潜入系统。

 

查看未经授权连接的日志

除了检查表现异常的计算机之外,企业还应查看防火墙和代理日志,了解它们正在建立的连接,以检测隐蔽的恶意挖矿活动。企业最好能准确地获知有权连接的位置和IP地址,如果此过程过于繁琐,请至少查看防火墙日志并阻止已知的加密矿工服务器地址。近日 Nextron 的一篇博客文章分析了常见加密矿池,推荐查看防火墙或 DNS 服务器是否受到影响。

 

例如,查看是否有包含 *xmr.* *pool.com *pool.org 和 pool.* 的日志,看看是否有人正在滥用企业网络。如果企业有一个高度敏感的网络,可以设置白名单允许必要的IP地址访问,不过,在云计算时代,这种方法很难实现。举例说明,当微软为其 Azure 数据中心添加新范围时,微软客户就可能需要调整授权 IP 地址列表,这无疑给客户增加了负担。

 

使用浏览器扩展组件,阻止恶意挖矿软件

一些浏览器扩展组件能够监控并阻止恶意挖矿软件,例如NoCoin和MinerBlocker就能监控可疑活动,并阻止攻击,两者都是适用于 Chrome、Opera 和 Firefox 的扩展程序。企业还可以通过禁用浏览器 JavaScript 阻止恶意活动,因为恶意 JavaScript 应用程序通过横幅广告和其他网站操作技术传播。不过,在企业中禁用浏览器JavaScript需要提前确认核实,因为这么做可能会对网站业务功能产生不利影响。

 

启用Edge浏览器的 Super-Duper安全模式

微软正在测试Edge浏览器的Super-Duper安全模式,通过在 V8 JavaScript 引擎中禁用即时 JIT 编译来提高 Edge 的安全性。微软表示,现代浏览器中的 JavaScript 漏洞是攻击者最常用的载体。2019年 CVE 漏洞数据显示,大约有45%的 V8 攻击与 JIT 相关。不过,禁用 JIT 编译确实会影响性能,Microsoft Browser Vulnerability Research 进行的测试证实了这一点。在Speedometer 2.0 这样的JavaScript 基准测试中,其性能下降幅度高达58%。尽管如此,微软表示用户不会在意这种性能下降,因为用户在日常使用中很少会注意到这种性能下降。

-End-

最近有一些小伙伴,让我帮忙找一些 面试题 资料,于是我翻遍了收藏的 5T 资料后,汇总整理出来,可以说是程序员面试必备!所有资料都整理到网盘了,欢迎下载!

图片

点击????卡片,关注后回复【面试题】即可获取

在看点这里图片好文分享给更多人↓↓

本文章转载自公众号:gh_50b74a782c29

首页 - 黑客 相关的更多文章: