如何检测网络中的恶意挖矿软件？

随着加密货币市值的一路飙升，恶意挖矿软件正在全球肆虐，比员工上班摸鱼更可怕的是，来自外部或内部的挖矿软件正在悄悄消耗着企业的IT资源，侵蚀企业利润。当不法分子通过 Web 服务器和浏览器劫持系统时，就会发生加密劫持（挖矿）。恶意 JavaScript 通常被注入或植入 Web 服务器，当用户访问网页时，浏览器就会被感染，将他们的计算机变成矿工。

检测恶意挖矿活动的方法有如下几种：

监控网络性能

首先，企业安全团队需要检查系统性能。终端用户可能会注意到 CPU 使用率过高、温度变化或风扇速度加快，这可能是业务应用程序编码不当的征兆，但也可能表明系统上存在隐藏的恶意软件，企业可以设置安全基线以更好地发现系统中的异常。不过，仅仅依靠性能异常来识别系统是否受影响也并不是万全之策。

[[435750]]

最近的事件表明，攻击者正在限制对系统 CPU 的需求以隐藏其影响。例如，近期微软数字防御报告就指出越南威胁组织 BISMUTH 针对法国和越南的私营部门和政府机构，正在通过“融入”正常网络活动来避免检测。因为加密货币矿工往往被安全系统视为优先级较低的威胁，所以 BISMUTH 能够在不被注意的情况下潜入系统。

查看未经授权连接的日志

除了检查表现异常的计算机之外，企业还应查看防火墙和代理日志，了解它们正在建立的连接，以检测隐蔽的恶意挖矿活动。企业最好能准确地获知有权连接的位置和IP地址，如果此过程过于繁琐，请至少查看防火墙日志并阻止已知的加密矿工服务器地址。近日 Nextron 的一篇博客文章分析了常见加密矿池，推荐查看防火墙或 DNS 服务器是否受到影响。

例如，查看是否有包含 *xmr.* *pool.com *pool.org 和 pool.* 的日志，看看是否有人正在滥用企业网络。如果企业有一个高度敏感的网络，可以设置白名单允许必要的IP地址访问，不过，在云计算时代，这种方法很难实现。举例说明，当微软为其 Azure 数据中心添加新范围时，微软客户就可能需要调整授权 IP 地址列表，这无疑给客户增加了负担。

使用浏览器扩展组件，阻止恶意挖矿软件

一些浏览器扩展组件能够监控并阻止恶意挖矿软件，例如NoCoin和MinerBlocker就能监控可疑活动，并阻止攻击，两者都是适用于 Chrome、Opera 和 Firefox 的扩展程序。企业还可以通过禁用浏览器 JavaScript 阻止恶意活动，因为恶意 JavaScript 应用程序通过横幅广告和其他网站操作技术传播。不过，在企业中禁用浏览器JavaScript需要提前确认核实，因为这么做可能会对网站业务功能产生不利影响。

启用Edge浏览器的 Super-Duper安全模式

微软正在测试Edge浏览器的Super-Duper安全模式，通过在 V8 JavaScript 引擎中禁用即时 JIT 编译来提高 Edge 的安全性。微软表示，现代浏览器中的 JavaScript 漏洞是攻击者最常用的载体。2019年 CVE 漏洞数据显示，大约有45%的 V8 攻击与 JIT 相关。不过，禁用 JIT 编译确实会影响性能，Microsoft Browser Vulnerability Research 进行的测试证实了这一点。在Speedometer 2.0 这样的JavaScript 基准测试中，其性能下降幅度高达58%。尽管如此，微软表示用户不会在意这种性能下降，因为用户在日常使用中很少会注意到这种性能下降。