徐州北大青鸟
当前位置: 主页 > 新闻中心 > 行业动态 >

如何检测网络中的恶意挖矿软件?

时间:2021-12-20 12:08来源:未知 作者:代码如诗 点击:
随着加密货币市值的一路飙升,恶意挖矿软件正在全球肆虐,比员工上班摸鱼更可怕的是,来自外部或内部的挖矿软件正在悄悄消耗着企业的IT资源,侵蚀企业利润。当不法分子通过
随着加密货币市值的一路飙升,恶意挖矿软件正在全球肆虐,比员工上班摸鱼更可怕的是,来自外部或内部的挖矿软件正在悄悄消耗着企业的IT资源,侵蚀企业利润。当不法分子通过 Web 服务器和浏览器劫持系统时,就会发生加密劫持(挖矿)。恶意 JavaScript 通常被注入或植入 Web 服务器,当用户访问网页时,浏览器就会被感染,将他们的计算机变成矿工。
 
检测恶意挖矿活动的方法有如下几种:
 
监控网络性能
 
首先,企业安全团队需要检查系统性能。终端用户可能会注意到 CPU 使用率过高、温度变化或风扇速度加快,这可能是业务应用程序编码不当的征兆,但也可能表明系统上存在隐藏的恶意软件,企业可以设置安全基线以更好地发现系统中的异常。不过,仅仅依靠性能异常来识别系统是否受影响也并不是万全之策。
 
最近的事件表明,攻击者正在限制对系统 CPU 的需求以隐藏其影响。例如,近期微软数字防御报告就指出越南威胁组织 BISMUTH 针对法国和越南的私营部门和政府机构,正在通过“融入”正常网络活动来避免检测。因为加密货币矿工往往被安全系统视为优先级较低的威胁,所以 BISMUTH 能够在不被注意的情况下潜入系统。
 
查看未经授权连接的日志
 
除了检查表现异常的计算机之外,企业还应查看防火墙和代理日志,了解它们正在建立的连接,以检测隐蔽的恶意挖矿活动。企业最好能准确地获知有权连接的位置和IP地址,如果此过程过于繁琐,请至少查看防火墙日志并阻止已知的加密矿工服务器地址。近日 Nextron 的一篇博客文章分析了常见加密矿池,推荐查看防火墙或 DNS 服务器是否受到影响。
 
例如,查看是否有包含 *xmr.* *pool.com *pool.org 和 pool.* 的日志,看看是否有人正在滥用企业网络。如果企业有一个高度敏感的网络,可以设置白名单允许必要的IP地址访问,不过,在云计算时代,这种方法很难实现。举例说明,当微软为其 Azure 数据中心添加新范围时,微软客户就可能需要调整授权 IP 地址列表,这无疑给客户增加了负担。
 
使用浏览器扩展组件,阻止恶意挖矿软件
 
一些浏览器扩展组件能够监控并阻止恶意挖矿软件,例如NoCoin和MinerBlocker就能监控可疑活动,并阻止攻击,两者都是适用于 Chrome、Opera 和 Firefox 的扩展程序。企业还可以通过禁用浏览器 JavaScript 阻止恶意活动,因为恶意 JavaScript 应用程序通过横幅广告和其他网站操作技术传播。不过,在企业中禁用浏览器JavaScript需要提前确认核实,因为这么做可能会对网站业务功能产生不利影响。
 
启用Edge浏览器的 Super-Duper安全模式
 
微软正在测试Edge浏览器的Super-Duper安全模式,通过在 V8 JavaScript 引擎中禁用即时 JIT 编译来提高 Edge 的安全性。微软表示,现代浏览器中的 JavaScript 漏洞是攻击者最常用的载体。2019年 CVE 漏洞数据显示,大约有45%的 V8 攻击与 JIT 相关。不过,禁用 JIT 编译确实会影响性能,Microsoft Browser Vulnerability Research 进行的测试证实了这一点。在Speedometer 2.0 这样的JavaScript 基准测试中,其性能下降幅度高达58%。尽管如此,微软表示用户不会在意这种性能下降,因为用户在日常使用中很少会注意到这种性能下降。
试听课
(责任编辑:代码如诗)
------分隔线----------------------------
栏目列表
推荐内容