वरोनिस ने एक क्रिप्टो खनन वायरस की खोज की: हमारी जांच

हमारी सुरक्षा जांच इकाई ने हाल ही में मध्यम आकार की कंपनियों में से एक में लगभग पूरी तरह से क्रिप्टो खनन वायरस नेटवर्क का मामला दर्ज किया है। के विश्लेषण
एकत्र किए गए मैलवेयर के नमूनों से पता चला है कि एक नया संशोधन पाया गया था
ऐसे वायरस, जिन्हें नॉर्मन कहा जाता है, अपनी उपस्थिति को छिपाने के लिए विभिन्न तरीकों का उपयोग करते हैं। इसके अलावा, एक इंटरेक्टिव वेब शेल की खोज की गई, जो खनन ऑपरेटरों से संबंधित हो सकता है।

अध्ययन अवलोकन

• वेरोनीस ने क्रिप्टोमिनर्स के साथ बड़े पैमाने पर संक्रमण का पता लगाया: कंपनी के लगभग सभी सर्वर और वर्कस्टेशन ऐसे सॉफ़्टवेयर से संक्रमित थे
• चूंकि प्रारंभिक संक्रमण जो एक साल से अधिक समय पहले हुआ था, संशोधनों और संक्रमित उपकरणों की संख्या में लगातार वृद्धि हुई है
• नए प्रकार की क्रिप्टो माइनर मोनेरो (नॉर्मन) जिसे हमने खोजा था ताकि पता लगाने से बचने के लिए सुरक्षा सॉफ़्टवेयर द्वारा विश्लेषण से इसे छिपाने के विभिन्न तरीकों का उपयोग किया जाता है
• अधिकांश मैलवेयर वेरिएंट्स ने कंट्रोल सेंटर (C & C सर्वर) से कनेक्ट करने के लिए, साथ ही साथ कॉन्फ़िगरेशन पैरामीटर प्राप्त करने या नया डेटा भेजने के लिए DuckDNS (एक निःशुल्क डायनेमिक DNS सेवा) का उपयोग किया
• नॉर्मन - उच्च-प्रदर्शन ओपन-सोर्स माइनर-आधारित मोनरो क्रिप्टोक्यूरेंसी माइनर - एक्सएमरिग
• हमारे पास एक इंटरैक्टिव PHP शेल के साथ क्रिप्टो खनिकों के कनेक्शन के निर्णायक सबूत नहीं हैं। हालांकि, यह मानने के अच्छे कारण हैं कि उनका स्रोत एक ही हमलावर है। शोधकर्ता ऐसे रिश्ते की उपस्थिति या अनुपस्थिति के लिए अतिरिक्त सबूत एकत्र करते हैं।
• इस लेख में, आप दूरस्थ वेब गोले और क्रिप्टो खनिकों के खिलाफ सुरक्षा के बारे में वरोनिस सिफारिशें पा सकते हैं।

जांच

प्लेटफ़ॉर्म के अगले पायलट प्रोजेक्ट के दौरान जांच शुरू हुई
Varonis cybersecurity (Varonis Data Security Platform), जिसने आपको फ़ाइल सिस्टम पर असामान्य क्रियाओं से जुड़े इंटरनेट अनुरोधों (वेब ​​प्रॉक्सी के माध्यम से) के दौरान नेटवर्क स्तर पर कई संदिग्ध विसंगतियों की पहचान करने की अनुमति दी है।
ग्राहक ने तुरंत संकेत दिया कि हमारे प्लेटफ़ॉर्म द्वारा पहचाने गए उपकरण,
उसी उपयोगकर्ताओं के थे, जिन्होंने हाल ही में एप्लिकेशन क्रैश और नेटवर्क मंदी की सूचना दी थी।

हमारी टीम ने ग्राहक के वातावरण की मैन्युअल रूप से जांच की, जो कि एक संक्रमित स्टेशन से दूसरे में वेरोनिस प्लेटफ़ॉर्म द्वारा उत्पन्न अलर्ट के अनुसार चलती है। घटना की प्रतिक्रिया टीम ने डेटाएलेट मॉड्यूल में सक्रिय रूप से खनन करने वाले कंप्यूटरों का पता लगाने के लिए एक विशेष नियम भी विकसित किया, जिससे खतरे को जल्दी से खत्म करने में मदद मिली। एकत्र किए गए मैलवेयर के नमूने फोरेंसिक और विकास विभागों की टीमों को भेजे गए थे, जिन्होंने कहा कि नमूनों पर अतिरिक्त शोध करना आवश्यक था।
संक्रमित साइटों को डकडएनएस कॉल , डायनेमिक डीएनएस के उपयोग के माध्यम से खोजा गया था, जो अपने उपयोगकर्ताओं को अपने स्वयं के डोमेन नाम बनाने और जल्दी से आईपी पते बदलने के लिए उन्हें मैप करने की अनुमति देता है। जैसा कि ऊपर उल्लेख किया गया है, घटना में अधिकांश मैलवेयर नियंत्रण केंद्र (सीएंडसी) से कनेक्ट करने के लिए डकडएनएस में बदल गए, दूसरा कॉन्फ़िगरेशन पैरामीटर प्राप्त करने या नया डेटा भेजने के लिए।

लगभग सभी सर्वर और कंप्यूटर मैलवेयर से संक्रमित थे। अधिकतर लागू होते हैं
आम क्रिप्टो माइनर विकल्प। अन्य मैलवेयर में पासवर्ड डंपिंग उपकरण, PHP के गोले और कई उपकरण कई वर्षों से काम कर रहे थे।

हमने ग्राहकों को परिणाम प्रदान किया, उनके वातावरण से मैलवेयर को हटा दिया, और आगे के संक्रमण को रोक दिया।

क्रिप्टोमिनर्स के सभी खोजे गए नमूनों में से, एक अलग खड़ा था। हमने उसे नॉर्मन कहा।

मुझसे मिलो! नॉर्मन। Kriptomayner

नॉर्मन एक उच्च-प्रदर्शन वाली मोनरो क्रिप्टोक्यूरेंसी माइनर है जो एक्सएमआरआईजी कोड पर आधारित है। अन्य खनिक नमूनों के विपरीत, नॉर्मन पता लगाने से बचने और आगे वितरण को रोकने के लिए सुरक्षा सॉफ्टवेयर के साथ विश्लेषण से इसे छिपाने के लिए तरीकों का उपयोग करता है।

पहली नज़र में, यह मैलवेयर svchost.exe नाम के तहत छुपा हुआ एक नियमित खननकर्ता है। हालांकि, अध्ययन से पता चला कि यह काम का पता लगाने और रखरखाव से छिपाने के अधिक दिलचस्प तरीकों का उपयोग करता है।

इस मैलवेयर की तैनाती प्रक्रिया को तीन चरणों में विभाजित किया जा सकता है:

• कार्यान्वयन;
• कार्यान्वयन;
• खनन।

चरण-दर-चरण विश्लेषण

चरण 1. निष्पादन

पहला चरण svchost.exe निष्पादन योग्य फ़ाइल के साथ शुरू होता है।

दुर्भावनापूर्ण सॉफ़्टवेयर NSIS (Nullsoft Scriptable Install System) के साथ संकलित करता है, जो असामान्य है। NSIS एक ओपन सोर्स सिस्टम है जिसका इस्तेमाल विंडोज इंस्टालर्स बनाने के लिए किया जाता है। SFX की तरह, यह सिस्टम एक फ़ाइल संग्रह और एक स्क्रिप्ट फ़ाइल बनाता है जिसे इंस्टॉलर के दौरान निष्पादित किया जाता है। स्क्रिप्ट फ़ाइल प्रोग्राम को बताती है कि कौन सी फाइल को चलाना है, और संग्रह में अन्य फ़ाइलों के साथ बातचीत कर सकते हैं।

नोट: निष्पादन योग्य फ़ाइल से NSIS स्क्रिप्ट फ़ाइल प्राप्त करने के लिए, आपको 7zip संस्करण 9.38 का उपयोग करना होगा, क्योंकि यह फ़ंक्शन बाद के संस्करणों में लागू नहीं किया गया है।

NSIS- संग्रहीत मैलवेयर में निम्न फ़ाइलें हैं:

• CallAnsiPlugin.dll, CLR.dll - .NET DLL फ़ंक्शन को कॉल करने के लिए NSIS मॉड्यूल;
• 5zmjbxUIOVQ58qPR.dll - मुख्य पेलोड DLL;
• 4jy4sobf.acz, es1qdxg2.5pk, OIM1iVhZ.txt - पेलोड फाइलें;
• Retreat.mp3, Cropped_controller_config_controller_i_lb.png केवल ऐसी फाइलें हैं जो आगे दुर्भावनापूर्ण गतिविधि से जुड़े नहीं हैं।

पेलोड को चलाने वाली NSIS स्क्रिप्ट फ़ाइल से कमांड नीचे दी गई है।



दुर्भावनापूर्ण सॉफ़्टवेयर को फ़ंक्शन 5zmjbxUIOVQ58qPR.dll पर कॉल करके निष्पादित किया जाता है, जो अन्य फ़ाइलों को पैरामीटर के रूप में लेता है।

चरण 2. कार्यान्वयन

5zmjbxUIOVQ58qPR.dll फ़ाइल मुख्य पेलोड है, जो ऊपर दी गई NSIS स्क्रिप्ट से है। मेटाडाटा के एक त्वरित विश्लेषण से पता चला है कि डीएलएल को मूल रूप से नॉर्मनडॉल कहा जाता था, यही कारण है कि हमने इसे कहा।

DLL फ़ाइल .NET पर विकसित की है और ट्रिपल ऑबफ्यूजन द्वारा रिवर्स इंजीनियरिंग के खिलाफ संरक्षित है
प्रसिद्ध वाणिज्यिक उत्पाद का उपयोग करते हुए Agile .NET Obfuscator।

कार्यान्वयन के दौरान, आपकी स्वयं की प्रक्रिया, साथ ही अन्य प्रक्रियाओं में आत्म-परिचय शुरू करने के कई ऑपरेशन शामिल हैं। ओएस की थोड़ी गहराई के आधार पर, मैलवेयर करेगा
सिस्टम फ़ोल्डरों के लिए अलग-अलग पथ चुनें और विभिन्न प्रक्रियाएं शुरू करें।



सिस्टम फ़ोल्डर में पथ के आधार पर, मैलवेयर शुरू करने के लिए विभिन्न प्रक्रियाओं का चयन करेगा।



तैनात पेलोड के दो मुख्य कार्य हैं: एक क्रिप्टो माइनर को निष्पादित करना और पहचान को रोकना।

यदि OS 64-बिट है

जब svchosts.exe स्रोत फ़ाइल (NSIS फ़ाइल) निष्पादित करते हैं, तो यह अपनी खुद की एक नई प्रक्रिया बनाता है और इसमें पेलोड को इंजेक्ट करता है (1)। इसके तुरंत बाद, उन्होंने notepad.exe या explorer.exe लॉन्च किया, और इसमें एक क्रिप्टोमिनर इंजेक्ट किया (2)।



उसके बाद, मूल svchost.exe फ़ाइल बंद हो जाती है, और नई svchost.exe फ़ाइल का उपयोग एक प्रोग्राम के रूप में किया जाता है जो कि खान की प्रक्रिया के संचालन की निगरानी करता है।

यदि OS 32-बिट है

मूल svchosts.exe फ़ाइल (NSIS फ़ाइल) के निष्पादन के दौरान, यह अपनी स्वयं की प्रक्रिया को डुप्लिकेट करता है और 64-बिट संस्करण की तरह, इसमें एक पेलोड इंजेक्ट करता है।

इस स्थिति में, मैलवेयर पेलोड को explorer.exe उपयोगकर्ता प्रक्रिया में इंजेक्ट करता है। पहले से ही, दुर्भावनापूर्ण कोड एक नई प्रक्रिया (wuapp.exe या vchost.exe) शुरू करता है, और इसमें खनिक को इंजेक्ट करता है।



दुर्भावनापूर्ण सॉफ़्टवेयर explorer.exe में कार्यान्वयन के तथ्य को छुपाता है, पहले से लागू कोड को wuapp.exe और रिक्त मानों पर ओवरराइट कर रहा है।



जैसा कि 64-बिट वातावरण में निष्पादन के मामले में, मूल svchost.exe प्रक्रिया से बाहर निकलता है, और दूसरे का उपयोग खोजकर्ता में दुर्भावनापूर्ण कोड को फिर से इंजेक्ट करने के लिए किया जाता है यदि प्रक्रिया उपयोगकर्ता द्वारा समाप्त हो जाती है।

निष्पादन एल्गोरिथ्म के अंत में, मैलवेयर हमेशा क्रिप्टोमिनर को अपनी वैध प्रक्रिया में इंजेक्ट करता है।

यह उपयोगकर्ता को टास्क मैनेजर लॉन्च करने पर खनिक को बंद करके पता लगाने से रोकने के लिए बनाया गया है।

कृपया ध्यान दें कि कार्य प्रबंधक शुरू करने के बाद, wuapp.exe प्रक्रिया समाप्त हो जाती है।



कार्य प्रबंधक को बंद करने के बाद, मैलवेयर बार-बार wuapp.exe प्रक्रिया शुरू करता है
इसमें एक खान में काम करनेवाला है।

मंच 3. खान

ऊपर वर्णित XMRig माइनर पर विचार करें।

दुर्भावनापूर्ण सॉफ़्टवेयर, नोटपैड, exe, explorer.exe, में खनिक के प्रच्छन्न UPX संस्करण को इंजेक्ट करता है।
OS की बिट गहराई और निष्पादन एल्गोरिथ्म के चरण के आधार पर svchost.exe या wuapp.exe।

माइनर में पीई हेडर को हटा दिया गया है, और नीचे दिए गए स्क्रीनशॉट में हम देख सकते हैं कि यह यूपीएक्स का उपयोग करके मास्क किया गया है।



एक डंप बनाने और निष्पादन योग्य के पुनर्निर्माण के बाद, हम इसे चलाने में कामयाब रहे:



यह ध्यान दिया जाना चाहिए कि लक्ष्य एक्सएमआर साइट तक पहुंच निषिद्ध है, जो प्रभावी रूप से इस खान को बेअसर करता है।

न्यूनतम विन्यास:

"url": "pool.minexmr.com:5555","user": "49WvfokdnuK6ojQePe6x2M3UCD59v3BQiBszkuTGE7wmNJuyAvHM9ojedgxMwNx9tZA33P84EeMLte7t6qZhxNHqHyfq9xA","pass":"x" 

रहस्यमय PHP खोल सी और सी के लिए डेटा स्थानांतरित

इस जाँच के दौरान, हमारे फोरेंसिक विशेषज्ञों ने एक XSL फाइल की खोज की जिसने उनका ध्यान आकर्षित किया। नमूने के गहन विश्लेषण के बाद, एक नया PHP शेल खोजा गया था जो लगातार नियंत्रण केंद्र (C & C सर्वर) से जुड़ा होता है।

ग्राहक के वातावरण में कई सर्वरों पर, एक XSL फाइल पाई गई जिसे sysWOW64 डायरेक्टरी के एक फ़ोल्डर से जाने-माने Windows निष्पादन योग्य (mscorsv.exe) द्वारा लॉन्च किया गया था।

मैलवेयर फ़ोल्डर को AutoRecover कहा जाता था और इसमें कई फाइलें होती थीं :

• XSL फ़ाइल: xml.XSL
• नौ dll फाइलें

निष्पादन योग्य फ़ाइलें:

• Mscorsv.exe
• Wmiprvse.exe

XSL फ़ाइल

XSL फाइलें CSS में उपयोग की जाने वाली तालिकाओं के समान स्टाइल शीट हैं जो एक्सएमएल दस्तावेज़ प्रदर्शित करने का तरीका बताती हैं।

नोटपैड का उपयोग करते हुए, हमने पाया कि यह वास्तव में एक एक्सएसएल फ़ाइल नहीं थी, बल्कि ज़ेड गार्ड PHP कोड को बाधित किया था। इस जिज्ञासु तथ्य ने सुझाव दिया कि यह
मालवेयर पेलोड इसके निष्पादन एल्गोरिथ्म के आधार पर।

नौ DLLs

XSL फ़ाइल के एक प्रारंभिक विश्लेषण ने हमें निष्कर्ष निकाला कि इतने सारे हैं
DLL कुछ समझ में आता है। मुख्य फ़ोल्डर में एक DLL होता है जिसे php.dll कहा जाता है और SSL और MySQL से संबंधित तीन अन्य लाइब्रेरी। सबफ़ोल्डर्स में, विशेषज्ञों ने चार पीएचपी लाइब्रेरी और एक ज़ेंड गार्ड लाइब्रेरी को पाया। वे सभी वैध हैं, और PHP स्थापना पैकेज या बाहरी dll के रूप में प्राप्त किए जाते हैं।

इस स्तर पर, यह धारणा बनाई गई थी कि मैलवेयर PHP पर आधारित था और Zend Guard द्वारा obfuscated किया गया था।

निष्पादन योग्य फ़ाइलों

इसके अलावा इस फ़ोल्डर में दो निष्पादन योग्य फाइलें थीं: Mscorsv.exe और Wmiprvse.exe।

Mscorsv.exe फ़ाइल का विश्लेषण करने के बाद, हमने पाया कि यह Microsoft द्वारा हस्ताक्षरित नहीं थी, हालाँकि इसका ProductName पैरामीटर "Microsoft" पर सेट था। नेट फ्रेमवर्क। "
पहले, यह सिर्फ अजीब लग रहा था, लेकिन Wmiprvse.exe के विश्लेषण ने स्थिति को बेहतर ढंग से समझना संभव बना दिया।

Wmiprvse.exe फ़ाइल पर भी हस्ताक्षर नहीं किए गए थे, लेकिन इसमें PHP समूह कॉपीराइट प्रतीक और PHP आइकन था। एक सरसरी स्कैन के दौरान, PHP की मदद से कमांड इसकी लाइनों में पाए गए थे। -Version स्विच के साथ इसे निष्पादित करते समय, यह पता चला कि यह एक निष्पादन योग्य फ़ाइल है जिसे Zend Guard को चलाने के लिए डिज़ाइन किया गया है।



जब mscorsv.exe उसी तरह से लॉन्च किया गया था, तो समान डेटा प्रदर्शित किया गया था। हमने इन दो फाइलों के बाइनरी डेटा की तुलना की और देखा कि वे मेटाडाटा के अपवाद के साथ समान हैं
कॉपीराइट और कंपनी का नाम / उत्पाद का नाम।



इसके आधार पर, यह निष्कर्ष निकाला गया कि XSL फाइल में PHP कोड होता है जो कि mscorsv.exe नाम के तहत छिपाए गए Zend Guard को प्रयोग करने योग्य चलाता है।

एक XSL फ़ाइल पार्स करना

इंटरनेट पर खोज का उपयोग करते हुए, विशेषज्ञों ने जल्दी से ज़ेंड गार्ड को हटाने के लिए एक उपकरण प्राप्त किया और मूल xml.XSL फ़ाइल को पुनर्स्थापित किया:



यह पता चला कि मैलवेयर स्वयं एक PHP शेल है जो लगातार नियंत्रण केंद्र (C & C सर्वर) से जुड़ा होता है।

इसे भेजने और प्राप्त करने वाले कमांड और आउटपुट एन्क्रिप्टेड हैं। चूंकि हमें स्रोत कोड प्राप्त हुआ था, इसलिए हमारे पास एन्क्रिप्शन कुंजी और कमांड दोनों थे।

इस मैलवेयर में निम्न अंतर्निहित कार्यक्षमता शामिल है:

• Eval - आमतौर पर कोड में मौजूदा चर को संशोधित करने के लिए उपयोग किया जाता है
• स्थानीय फ़ाइल रिकॉर्ड
• डेटाबेस सुविधाएँ
• PSEXEC सुविधाएँ
• छिपा हुआ अमल
• प्रक्रिया और सेवा मानचित्रण

निम्न चर बताता है कि मैलवेयर के कई संस्करण हैं।



नमूने एकत्र करते समय, निम्नलिखित संस्करण खोजे गए:

• 0.5f
• 0.4p
• 0.4o

सिस्टम में मैलवेयर की निरंतर उपस्थिति सुनिश्चित करने का एकमात्र कार्य यह है कि निष्पादित होने पर, यह एक ऐसी सेवा बनाता है जो खुद को निष्पादित करता है, और उसका नाम
संस्करण से संस्करण में भिन्न होता है।

विशेषज्ञों ने इंटरनेट पर समान नमूने खोजने की कोशिश की और मैलवेयर पाया,
जो, उनकी राय में, मौजूदा नमूने का पिछला संस्करण था। फ़ोल्डर की सामग्री समान थी, लेकिन XSL फ़ाइल अलग थी और इसमें एक अलग संस्करण संख्या निर्दिष्ट की गई थी।

पारले वू मालवारे?

शायद इस मालवेयर की मातृभूमि फ्रांस या कोई अन्य फ्रेंच भाषी देश है: एसएफएक्स फाइल में फ्रेंच में टिप्पणियां शामिल थीं जो दर्शाती हैं कि लेखक ने इसे बनाने के लिए WinRAR के फ्रेंच संस्करण का उपयोग किया था।



इसके अलावा, कोड में कुछ चर और कार्यों को फ्रेंच में भी नामित किया गया था।

निष्पादन की निगरानी करना और नई टीमों की प्रतीक्षा करना

विशेषज्ञों ने मैलवेयर कोड को संशोधित किया, और पहले से ही संशोधित रूप से लॉन्च किया
संस्करण है कि टीमों के बारे में जानकारी प्राप्त करने के लिए।



पहले संचार सत्र के अंत में, विशेषज्ञों ने देखा कि मैलवेयर को EVAL स्टार्टअप स्टार्टअप कुंजी के तर्क के रूप में Base64 के साथ एन्कोड किया गया कमांड प्राप्त हुआ।
इस कमांड को डिकोड और निष्पादित किया जाता है। यह कई आंतरिक चर (पढ़ने और लिखने के बफ़र्स का आकार) को बदलता है, जिसके बाद मालवेयर कमांड के इंतजार में काम के चक्र में प्रवेश करता है।

इस समय कोई नई टीम प्राप्त नहीं हुई है।

इंटरएक्टिव PHP शेल और क्रिप्टो माइनर: क्या वे संबंधित हैं?

वरोनिस विशेषज्ञ यह सुनिश्चित नहीं कर रहे हैं कि नॉर्मन पीएचपी शेल के साथ जुड़ा हुआ है, क्योंकि इस धारणा के लिए और इसके खिलाफ महत्वपूर्ण तर्क हैं:

वे क्यों संबंधित हो सकते हैं

• दुर्भावनापूर्ण क्रिप्टो खनन सॉफ्टवेयर के किसी भी नमूने में अन्य प्रणालियों को स्वतंत्र रूप से वितरित करने की क्षमता नहीं थी, हालांकि वे विभिन्न नेटवर्क खंडों में विभिन्न उपकरणों पर पाए गए थे। यह संभव है कि हमलावर ने प्रत्येक नोड को अलग से संक्रमित किया (संभवतः "शून्य रोगी" को संक्रमित करते समय एक ही हमले के वेक्टर का उपयोग करना), हालांकि यह नेटवर्क पर फैलने के लिए PHP शेल का उपयोग करने के लिए अधिक कुशल होगा जो हमले का लक्ष्य था।
• एक विशिष्ट संगठन के खिलाफ निर्देशित बड़े पैमाने पर लक्षित स्वचालित अभियान अक्सर तकनीकी कलाकृतियों या उनके कार्यान्वयन में साइबर सुरक्षा खतरों के पहचानने योग्य निशान छोड़ देते हैं। इस मामले में, कुछ भी नहीं मिला।
• नॉर्मन और पीएचपी शेल दोनों ने डकडएनएस सेवा का उपयोग किया।

वे संबंधित क्यों नहीं हो सकते हैं

• क्रिप्टो माइनिंग मालवेयर विकल्पों और PHP शेल के बीच कोई तकनीकी समानता नहीं है। दुर्भावनापूर्ण क्रिप्टोमिनर C ++ में बनाया गया था, और PHP में शेल। इसके अलावा, कोड संरचना में कोई समानता नहीं है, और नेटवर्क फ़ंक्शन अलग तरीके से कार्यान्वित किए जाते हैं।
• डेटा के आदान-प्रदान के लिए मैलवेयर विकल्पों और PHP शेल के बीच कोई सीधा संवाद नहीं है।
• उनके पास सामान्य डेवलपर टिप्पणियां, फ़ाइलें, मेटाडेटा या फ़िंगरप्रिंट नहीं हैं।

हटाए गए गोले के खिलाफ सुरक्षा के लिए तीन सिफारिशें

दुर्भावनापूर्ण सॉफ़्टवेयर, जिसे नियंत्रण केंद्र (C & C सर्वर) से कमांड की आवश्यकता होती है, सामान्य वायरस की तरह नहीं दिखता है। उसके कार्य इतने अनुमानित नहीं हैं और स्वचालित उपकरण या लिपियों के बिना किए गए किसी हैकर या पेंटर के कार्यों से मेल खाते हैं। इसलिए, मैलवेयर हस्ताक्षर के बिना इन हमलों का पता लगाना पारंपरिक एंटीवायरस स्कैन की तुलना में अधिक जटिल कार्य है।

दूरस्थ गोले से कंपनियों की सुरक्षा के लिए नीचे तीन सिफारिशें दी गई हैं:

1. सभी सॉफ्टवेयर को अपडेट रखें
   हमलावर अक्सर संगठन के नेटवर्क में फैलने के लिए सॉफ़्टवेयर और ऑपरेटिंग सिस्टम में कमजोरियों का फायदा उठाते हैं और क्रम में रुचि के डेटा की खोज करते हैं
   चोरी। पैच की समय पर स्थापना से इस तरह के खतरों का खतरा काफी कम हो जाता है।
2. असामान्य डेटा एक्सेस ईवेंट ट्रैक करें
   सबसे अधिक संभावना है, हमलावर परिधि के आसपास संगठन के गोपनीय डेटा को प्रदर्शित करने का प्रयास करेंगे। इस डेटा तक पहुंच की असामान्य घटनाओं की निगरानी करने की अनुमति देगा
   समझौता किए गए उपयोगकर्ताओं और फ़ोल्डरों और फ़ाइलों के पूरे सेट का पता लगाएं, जो वास्तव में हमलावरों के हाथों में पड़ सकते हैं, और इन उपयोगकर्ताओं के लिए उपलब्ध सभी डेटा को इस तरह से नहीं मानते हैं।
3. नेटवर्क ट्रैफ़िक ट्रैक करें
   फ़ायरवॉल और / या प्रॉक्सी सर्वर के उपयोग के लिए धन्यवाद, मैलवेयर नियंत्रण केंद्रों (C & C सर्वर) के लिए दुर्भावनापूर्ण कनेक्शन का पता लगाना और ब्लॉक करना संभव है, जो हमलावरों को आदेशों को निष्पादित करने और आउटपुट के कार्य को जटिल करने से रोकेंगे
   परिधि डेटा।

ग्रे खनन के मुद्दे को लेकर? सुरक्षा के लिए छह सिफारिशें:

1. सभी ऑपरेटिंग सिस्टम को अपडेट रखें।
   संसाधनों के दुरुपयोग और मैलवेयर संक्रमण को रोकने के लिए पैच प्रबंधन बहुत महत्वपूर्ण है।
2. नेटवर्क ट्रैफ़िक और वेब प्रॉक्सी की निगरानी करें
   कुछ हमलों का पता लगाने के लिए ऐसा करें, और उनमें से कुछ हिस्सों को रोकने के लिए, आप दुर्भावनापूर्ण डोमेन के बारे में जानकारी के आधार पर ट्रैफ़िक को ब्लॉक कर सकते हैं या अनावश्यक डेटा ट्रांसमिशन चैनलों को सीमित कर सकते हैं।
3. एंटी-वायरस सॉल्यूशंस और एंडपॉइंट सुरक्षा प्रणालियों का उपयोग करें और बनाए रखें (लेकिन किसी भी स्थिति में केवल इस सुरक्षा परत का उपयोग करने के लिए खुद को सीमित न करें)।
   अंतिम उपकरणों पर उत्पाद जाने-माने क्रिप्टोमिनरों का पता लगाने और सिस्टम के प्रदर्शन से पहले संक्रमण की रोकथाम और बिजली के उपयोग से समझौता करने की अनुमति देते हैं। यह ध्यान में रखा जाना चाहिए कि नए संशोधनों या पहचान को रोकने के नए तरीकों से अंत उपकरणों पर सुरक्षा सुविधाओं के कारण उसी मैलवेयर के नए संस्करणों का पता नहीं चल सकता है।
4. कंप्यूटर CPU गतिविधि की निगरानी करें
   एक नियम के रूप में, क्रिप्टो खनिक खनन के लिए कंप्यूटर के केंद्रीय प्रोसेसर का उपयोग करते हैं। प्रदर्शन में गिरावट के बारे में किसी भी संदेश का विश्लेषण करना आवश्यक है ("मेरा कंप्यूटर धीमा होना शुरू हुआ।")।
5. डायनेमिक DNS सेवाओं (जैसे डकएनएस) के असामान्य उपयोग के लिए मॉनीटर डीएनएस।
   
   इस तथ्य के बावजूद कि डकडएनएस और अन्य डायनेमिक डीएनएस सेवाएं स्वयं सिस्टम के लिए हानिकारक नहीं हैं, डकडएनएस मालवेयर के उपयोग ने जांच में शामिल विशेषज्ञों की टीमों के लिए संक्रमित नोड्स का पता लगाने को सरल बनाया।
6. घटना प्रतिक्रिया योजना विकसित करें
   सुनिश्चित करें कि आपके पास ऐसी घटनाओं के लिए वर्णित आवश्यक प्रक्रियाएं हैं जो ग्रे क्रिप्टो खनन के खतरे का स्वचालित रूप से पता लगाती हैं, सीमित करती हैं और समाप्त करती हैं।

वर्निस ग्राहकों के लिए ध्यान दें।
Varonis DatAlert में खतरे वाले मॉडल शामिल हैं जो क्रिप्टो खनन के लिए मैलवेयर का पता लगाते हैं। ग्राहक डोमेन के आधार पर सॉफ़्टवेयर की लक्षित खोज के लिए अपने नियम भी बना सकते हैं जो ब्लैकलिस्ट करने के लिए उम्मीदवार हैं। यह सुनिश्चित करने के लिए कि आप DatAlert के नवीनतम संस्करण का उपयोग कर रहे हैं और उचित खतरे वाले मॉडल लागू कर रहे हैं, अपने बिक्री प्रतिनिधि या वरोनिस सपोर्ट से संपर्क करें।