Artikel ini akan membantu kami mengidentifikasi kemungkinan contoh malware cryptocurrency.
Gejala
Ini adalah beberapa gejala yang mungkin muncul pada server Anda jika memiliki malware kripto:
- Server berjalan lambat.
- Penggunaan CPU yang tinggi.
- Penggunaan GPU tinggi .
- Penggunaan bandwidth tinggi DAN koneksi jaringan ke titik akhir yang tidak biasa
Memeriksa CPU/GPU dan direktori.
- Periksa status CPU/GPU Anda, biasanya cryptocurrency menggunakan CPU dan GPU pada kapasitas 100%.
- Periksa “C:\Windows\system32” untuk file “.dll” yang baru saja dibuat.
- Pada properti file-file ini Anda akan melihat bahwa "nama file asli" adalah test.dll
Memeriksa Layanan dan Penjadwal Tugas
- Kami dapat memulai “services.msc” untuk melihat layanan aktif di sistem kami.
- Periksa layanan yang tidak memiliki deskripsi.
- Membuka Penjadwal Tugas kami, kami dapat melihat tugas yang dijadwalkan untuk dimulai pada waktu tertentu untuk memastikan komponen adware selalu ada.
- Anda akan melihat bahwa Penulis tugas adalah grup atau SISTEM administrator server.
Memeriksa koneksi Port.
- Dengan menggunakan netstat atau procexp, kita dapat memeriksa proses yang terhubung dengan kita.
- Kami harus mengawasi port berikut karena digunakan oleh malware cryptocurrency:14433, 14444, 3333, 3334, 3335, 3336, 4444, 45560, 45700, 5555, 5556, 6666, 7777, 8788, 8888 , 8899, 9999
Memeriksa Penggunaan Bandwidth
Penggunaan bandwidth tak terduga yang tinggi dan berkelanjutan sering kali merupakan gejala umum. Karena penyerang biasanya membahayakan sistem yang ingin menjalankan layanan jaringan pada mereka, mungkin ada layanan yang berjalan pada sistem, jadi mendengarkan port aneh dapat mengindikasikan server yang disusupi.
-
Untuk meninjau koneksi jaringan untuk TCP, jalankan perintah berikut di PowerShell:
NetStat -naop 'TCP' -
Untuk meninjau koneksi jaringan untuk UDP, jalankan perintah berikut:
NetStat** -naop 'UDP' -
Untuk menghitung koneksi tertentu, jalankan salah satu perintah berikut:
NetStat** -naop 'TCP' find /c ":<port>"
CATATAN: TCP Sysinternal view menawarkan alat grafis alternatif untuk ulasan ini.
Malware jenis ini sangat sulit ditemukan karena mengambil konfigurasi root seolah-olah sebagai pengguna admin, dan prosesnya mengambil file atau direktori yang digunakan oleh OS.
Rekomendasi yang baik untuk mencegah hal ini, adalah memblokir koneksi port ke kolam penambangan terkenal seperti yang disebutkan dalam artikel ini, untuk menjaga perangkat lunak antimalware kami tetap mutakhir, dan memanfaatkan daftar putih untuk aplikasi.Jika Anda pernah menemukan ini jenis gejala pada sistem Anda menjangkau dukungan teknis karena hal ini dapat membahayakan infrastruktur pelanggan dan ruang rak.
Anda dapat memeriksa artikel ini jika Anda ingin mengetahui hal-hal yang lebih spesifik tentang malware cryptocurrency:Mendeteksi Penambangan Cryptocurrency di Lingkungan Perusahaan
Artikel terkait
Untuk informasi lebih lanjut, tinjau sumber berikut:
- Selidiki server Windows yang disusupi - Rackspace
- Dokumentasi ke Sysinternals - Microsoft
- Tautan langsung ke alat sysinternal - SysInternals
- Sophos AntiRootkit - Sophos
- Mendeteksi Penambangan Cryptocurrency di Lingkungan Perusahaan - SansOrg
Gunakan tab Umpan Balik untuk memberikan komentar atau mengajukan pertanyaan. Anda juga dapat memulai percakapan dengan kami.