将挖矿木马主机持续性地向矿池提交任务的行为

时间：2022-05-12 11:06:55

将挖矿木马主机持续性地向矿池提交任务的行为，看做挖矿木马主动挖矿的第二阶段，即主机挖矿的过程维持阶段，该阶段会统计矿池的地址、提交给每个矿池地址的任务次数，这是作为检测取证的关键证据。并将矿池调整任务难度的行为作为主机受控的辅助证据，用来在只检测到挖矿木马主动挖矿的第二阶段行为时的佐证。

第三期内容将通过对安天探海威胁检测系统应对“挖矿”威胁时，在流量侧针对恶意通信、矿池地址、挖矿程序的多重检测与联动处置能力，以及产品优势介绍，结合场景案例，分享如何基于流量侧持续监测有效提升“挖矿”威胁治理。

更为重要的是，我司对于通过行为检测技术确认的矿池IP地址，进一步将威胁事件发现与矿池进行通信的挖矿木马主机标记为受控主机，将同时间段内与矿池IP进行外联通信的其他主机标记为疑似内网挖矿木马扩散传播的受控挖矿主机；建议运维人员对这些主机的挖矿木马进行系统查杀，做到系统级防御以避免挖矿木马带来的持续影响。

挖矿木马在进行挖矿时，会对矿池进行DNS查询和IP连接。通过对比收集的公开矿池域名和IP，在木马进行网络连接的时候可以有效告警。当然，这样不能检测连接私有矿池的挖矿木马，但是对连接公开矿池的挖矿木马具有很好的检测能力。如下所示，这是收集的部分公开矿池地址。

通过流量采集探针、防火墙等设备采集校园网出口和数据中心流量，针对“矿机”需要和“矿池”通信并进行数据传输特征、回连采用的常用端口，根据协议和特征字段可检测出其中的“挖矿”流量，再进一步根据IP和MAC地址溯源定位到具体的设备，如图2所示。

更为重要的是，我们对于通过行为检测技术确认的矿池IP地址，进一步将威胁事件发现与矿池进行通信的挖矿木马主机标记为受控主机，将同时间段内与矿池IP进行外联通信的其他主机标记为疑似内网挖矿木马扩散传播的受控挖矿主机，建议运维人员对这些主机的挖矿木马进行系统查杀，做到系统级防御挖矿木马带来的持续影响。

相关部门研判认为，183个涉公的“挖矿”IP地址，若属主动参与“挖矿”，单位信息技术人员利用单位服务器“挖矿”，或单位内部人员自带矿机利用单位网络“挖矿”的概率较大。“矿机”通过网络访问境外“矿池”计算生产虚拟货币，一般留有跨境浏览记录。国家互联网应急中心监测锁定“矿机”IP地址后，通信管理部门倒查所对应单位，再通过上门检查就能锁定到具体“矿机”及人员。

标签：挖矿 矿池