|
隨著加密貨幣市值的一路飆升，惡意挖礦軟件正在全球肆虐，比員工上班摸魚更可怕的是，來自外部或內(nèi)部的挖礦軟件正在悄悄消耗著企業(yè)的IT資源，侵蝕企業(yè)利潤。當不法分子通過 Web 服務器和瀏覽器劫持系統(tǒng)時，就會發(fā)生加密劫持（挖礦）。惡意 JavaScript 通常被注入或植入 Web 服務器，當用戶訪問網(wǎng)頁時，瀏覽器就會被感染，將他們的計算機變成礦工。
檢測惡意挖礦活動的方法有如下幾種：
監(jiān)控網(wǎng)絡性能
首先，企業(yè)安全團隊需要檢查系統(tǒng)性能。終端用戶可能會注意到 CPU 使用率過高、溫度變化或風扇速度加快，這可能是業(yè)務應用程序編碼不當?shù)恼髡祝部赡鼙砻飨到y(tǒng)上存在隱藏的惡意軟件，企業(yè)可以設置安全基線以更好地發(fā)現(xiàn)系統(tǒng)中的異常。不過，僅僅依靠性能異常來識別系統(tǒng)是否受影響也并不是萬全之策。
最近的事件表明，攻擊者正在限制對系統(tǒng) CPU 的需求以隱藏其影響。例如，近期微軟數(shù)字防御報告就指出越南威脅組織 BISMUTH 針對法國和越南的私營部門和政府機構，正在通過“融入”正常網(wǎng)絡活動來避免檢測。因為加密貨幣礦工往往被安全系統(tǒng)視為優(yōu)先級較低的威脅，所以 BISMUTH 能夠在不被注意的情況下潛入系統(tǒng)。
查看未經(jīng)授權連接的日志
除了檢查表現(xiàn)異常的計算機之外，企業(yè)還應查看防火墻和代理日志，了解它們正在建立的連接，以檢測隱蔽的惡意挖礦活動。企業(yè)最好能準確地獲知有權連接的位置和IP地址，如果此過程過于繁瑣，請至少查看防火墻日志并阻止已知的加密礦工服務器地址。近日 Nextron 的一篇博客文章分析了常見加密礦池，推薦查看防火墻或 DNS 服務器是否受到影響。
例如，查看是否有包含 *xmr.* *pool.com *pool.org 和 pool.* 的日志，看看是否有人正在濫用企業(yè)網(wǎng)絡。如果企業(yè)有一個高度敏感的網(wǎng)絡，可以設置白名單允許必要的IP地址訪問，不過，在云計算時代，這種方法很難實現(xiàn)。舉例說明，當微軟為其 Azure 數(shù)據(jù)中心添加新范圍時，微軟客戶就可能需要調整授權 IP 地址列表，這無疑給客戶增加了負擔。
使用瀏覽器擴展組件，阻止惡意挖礦軟件
一些瀏覽器擴展組件能夠監(jiān)控并阻止惡意挖礦軟件，例如NoCoin和MinerBlocker就能監(jiān)控可疑活動，并阻止攻擊，兩者都是適用于 Chrome、Opera 和 Firefox 的擴展程序。企業(yè)還可以通過禁用瀏覽器 JavaScript 阻止惡意活動，因為惡意 JavaScript 應用程序通過橫幅廣告和其他網(wǎng)站操作技術傳播。不過，在企業(yè)中禁用瀏覽器JavaScript需要提前確認核實，因為這么做可能會對網(wǎng)站業(yè)務功能產(chǎn)生不利影響。
啟用Edge瀏覽器的 Super-Duper安全模式
微軟正在測試Edge瀏覽器的Super-Duper安全模式，通過在 V8 JavaScript 引擎中禁用即時 JIT 編譯來提高 Edge 的安全性。微軟表示，現(xiàn)代瀏覽器中的 JavaScript 漏洞是攻擊者最常用的載體。2019年 CVE 漏洞數(shù)據(jù)顯示，大約有45%的 V8 攻擊與 JIT 相關。不過，禁用 JIT 編譯確實會影響性能，Microsoft Browser Vulnerability Research 進行的測試證實了這一點。在Speedometer 2.0 這樣的JavaScript 基準測試中，其性能下降幅度高達58%。盡管如此，微軟表示用戶不會在意這種性能下降，因為用戶在日常使用中很少會注意到這種性能下降。
 |
