വരോണിസ് ഒരു ക്രിപ്‌റ്റോമൈനിംഗ് വൈറസ് കണ്ടെത്തി: ഞങ്ങളുടെ അന്വേഷണം

ഞങ്ങളുടെ സൈബർ സുരക്ഷാ അന്വേഷണ സംഘം അടുത്തിടെ ഒരു ഇടത്തരം കമ്പനിയിൽ ക്രിപ്‌റ്റോമൈനിംഗ് വൈറസ് ബാധിച്ച ഒരു നെറ്റ്‌വർക്കിനെക്കുറിച്ച് അന്വേഷിച്ചു. വിശകലനം
ശേഖരിച്ച ക്ഷുദ്രവെയർ സാമ്പിളുകൾ ഒരു പുതിയ പരിഷ്ക്കരണം കണ്ടെത്തിയതായി കാണിച്ചു
അത്തരം വൈറസുകളെ വിളിക്കുന്നു നോർമൻ, അതിന്റെ സാന്നിധ്യം മറയ്ക്കുന്നതിനുള്ള വിവിധ രീതികൾ ഉപയോഗിക്കുന്നു. കൂടാതെ, അത് കണ്ടെത്തി സംവേദനാത്മക വെബ് ഷെൽ, മൈനിംഗ് ഓപ്പറേറ്റർമാർക്ക് പ്രസക്തമായേക്കാം.

പഠന അവലോകനം

• വരോണിസ് കമ്പനി ക്രിപ്‌റ്റോമിനറുകളുമായി വലിയ തോതിലുള്ള അണുബാധ കണ്ടെത്തി: കമ്പനിയിലെ മിക്കവാറും എല്ലാ സെർവറുകളും വർക്ക്‌സ്റ്റേഷനുകളും അത്തരം സോഫ്റ്റ്‌വെയർ ബാധിച്ചു
• ഒരു വർഷത്തിലേറെ മുമ്പ് പ്രാരംഭ അണുബാധയ്ക്ക് ശേഷം, പരിഷ്ക്കരണങ്ങളുടെയും രോഗബാധിത ഉപകരണങ്ങളുടെയും എണ്ണം ക്രമാനുഗതമായി വർദ്ധിച്ചു
• കണ്ടെത്തൽ ഒഴിവാക്കാൻ സുരക്ഷാ സോഫ്റ്റ്‌വെയർ വിശകലനത്തിൽ നിന്ന് മറയ്ക്കാൻ വിവിധ രീതികൾ ഉപയോഗിക്കുന്ന ഒരു പുതിയ തരം Monero ക്രിപ്‌റ്റോമിനർ (നോർമൻ) ഞങ്ങൾ കണ്ടെത്തി
• കൺട്രോൾ സെന്ററിലേക്ക് (C&C സെർവറുകൾ) കണക്‌റ്റ് ചെയ്യുന്നതിനും കോൺഫിഗറേഷൻ പാരാമീറ്ററുകൾ നേടുന്നതിനും പുതിയ ഡാറ്റ അയയ്‌ക്കുന്നതിനും മിക്ക ക്ഷുദ്രവെയർ വേരിയന്റുകളും DuckDNS (ഒരു സ്വതന്ത്ര ഡൈനാമിക് DNS സേവനം) ഉപയോഗിച്ചു.
• ഓപ്പൺ സോഴ്‌സ് മൈനർ - XMRig അടിസ്ഥാനമാക്കിയുള്ള ഉയർന്ന പ്രകടനമുള്ള മോനേറോ ക്രിപ്‌റ്റോകറൻസി മൈനറാണ് നോർമൻ
• ക്രിപ്‌റ്റോമിനറുകളെ ഒരു സംവേദനാത്മക PHP ഷെല്ലുമായി ബന്ധിപ്പിക്കുന്ന നിഷേധിക്കാനാവാത്ത തെളിവുകൾ ഞങ്ങളുടെ പക്കലില്ല. എന്നിരുന്നാലും, അവർ ഒരേ ആക്രമണകാരിയിൽ നിന്നാണ് വരുന്നതെന്ന് വിശ്വസിക്കാൻ നല്ല കാരണങ്ങളുണ്ട്. അത്തരമൊരു ബന്ധത്തിന്റെ സാന്നിധ്യത്തിനോ അഭാവത്തിനോ ഗവേഷകർ കൂടുതൽ തെളിവുകൾ ശേഖരിക്കുന്നു.
• റിമോട്ട് വെബ് ഷെല്ലുകൾക്കും ക്രിപ്‌റ്റോമിനറുകൾക്കുമെതിരായ സംരക്ഷണം സംബന്ധിച്ച വരോണിസിന്റെ ശുപാർശകൾ ഈ ലേഖനത്തിൽ നിങ്ങൾക്ക് പരിചയപ്പെടാം.

അന്വേഷണം

അടുത്ത പൈലറ്റ് പ്രോജക്ടിന്റെ സമയത്ത് അന്വേഷണം ആരംഭിച്ചു പ്ലാറ്റ്ഫോമുകൾ
സൈബർ സുരക്ഷ വരോണിസ് (വരോണിസ് ഡാറ്റ സെക്യൂരിറ്റി പ്ലാറ്റ്ഫോം), ഇത് ഇന്റർനെറ്റ് അഭ്യർത്ഥനകൾക്കിടയിൽ (വെബ് പ്രോക്സി വഴി) നെറ്റ്‌വർക്ക് തലത്തിൽ സംശയാസ്പദമായ നിരവധി അനോമലസ് ഇവന്റുകൾ വേഗത്തിൽ തിരിച്ചറിയുന്നത് സാധ്യമാക്കി, ഫയൽ സിസ്റ്റത്തിലെ അസാധാരണ പ്രവർത്തനങ്ങളുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു.
ഞങ്ങളുടെ പ്ലാറ്റ്‌ഫോം തിരിച്ചറിഞ്ഞ ഉപകരണങ്ങൾ ഉപഭോക്താവ് ഉടൻ ചൂണ്ടിക്കാട്ടി
അടുത്തിടെ ആപ്ലിക്കേഷൻ ക്രാഷുകളും നെറ്റ്‌വർക്ക് സ്ലോഡൗണുകളും റിപ്പോർട്ട് ചെയ്ത അതേ ഉപയോക്താക്കളുടേതാണ്.

വരോണിസ് പ്ലാറ്റ്‌ഫോം സൃഷ്‌ടിച്ച അലേർട്ടുകൾക്ക് അനുസൃതമായി ഞങ്ങളുടെ ടീം ഉപഭോക്താവിന്റെ പരിതസ്ഥിതി നേരിട്ട് പരിശോധിച്ചു. സംഭവ പ്രതികരണ സംഘം ഒരു പ്രത്യേക നിയമം വികസിപ്പിച്ചെടുത്തിട്ടുണ്ട് DataAlert മൊഡ്യൂൾ സജീവമായി ഖനനം ചെയ്യുന്ന കമ്പ്യൂട്ടറുകൾ കണ്ടെത്തുന്നതിന്, ഇത് ഭീഷണി വേഗത്തിൽ ഇല്ലാതാക്കാൻ സഹായിച്ചു. ശേഖരിച്ച മാൽവെയറിന്റെ സാമ്പിളുകൾ ഫോറൻസിക്, ഡെവലപ്‌മെന്റ് ടീമുകൾക്ക് അയച്ചു, സാമ്പിളുകളുടെ കൂടുതൽ പരിശോധന ആവശ്യമാണെന്ന് അവർ ഉപദേശിച്ചു.
അവർ നടത്തിയ കോളുകൾ മൂലമാണ് രോഗബാധയുള്ള നോഡുകൾ കണ്ടെത്തിയത് ഡക്ക്ഡിഎൻഎസ്, ഒരു ഡൈനാമിക് ഡിഎൻഎസ് സേവനം അതിന്റെ ഉപയോക്താക്കളെ അവരുടെ സ്വന്തം ഡൊമെയ്ൻ നാമങ്ങൾ സൃഷ്ടിക്കുന്നതിനും ഐപി വിലാസങ്ങൾ മാറ്റുന്നതിലേക്ക് വേഗത്തിൽ മാപ്പ് ചെയ്യുന്നതിനും അനുവദിക്കുന്നു. മുകളിൽ സൂചിപ്പിച്ചതുപോലെ, സംഭവത്തിലെ മിക്ക ക്ഷുദ്രവെയറുകളും കൺട്രോൾ സെന്ററിലേക്ക് (C&C) കണക്റ്റുചെയ്യുന്നതിന് DuckDNS ആക്സസ് ചെയ്തു, മറ്റുള്ളവർ കോൺഫിഗറേഷൻ പാരാമീറ്ററുകൾ ആക്സസ് ചെയ്യുകയോ പുതിയ ഡാറ്റ അയയ്ക്കുകയോ ചെയ്തു.

മിക്കവാറും എല്ലാ സെർവറുകളും കമ്പ്യൂട്ടറുകളും ക്ഷുദ്രവെയർ ബാധിച്ചു. പ്രധാനമായും ഉപയോഗിക്കുന്നത്
ക്രിപ്‌റ്റോമിനറുകളുടെ പൊതുവായ വകഭേദങ്ങൾ. മറ്റ് ക്ഷുദ്രവെയറിൽ പാസ്‌വേഡ് ഡംപ് ടൂളുകളും PHP ഷെല്ലുകളും ഉൾപ്പെടുന്നു, അതേസമയം നിരവധി ടൂളുകൾ വർഷങ്ങളായി പ്രവർത്തിക്കുന്നു.

ഞങ്ങൾ ഉപഭോക്താവിന് ഫലങ്ങൾ നൽകുകയും അവരുടെ പരിതസ്ഥിതിയിൽ നിന്ന് ക്ഷുദ്രവെയർ നീക്കം ചെയ്യുകയും കൂടുതൽ അണുബാധകൾ തടയുകയും ചെയ്തു.

ക്രിപ്‌റ്റോമിനറുകളുടെ കണ്ടെത്തിയ എല്ലാ സാമ്പിളുകളിലും, ഒന്ന് വേറിട്ടു നിന്നു. ഞങ്ങൾ അവന് പേരിട്ടു നോർമൻ.

കണ്ടുമുട്ടുക! നോർമൻ. ക്രിപ്‌റ്റോമിനർ

XMRig കോഡ് അടിസ്ഥാനമാക്കിയുള്ള ഉയർന്ന പ്രകടനമുള്ള മോനേറോ ക്രിപ്‌റ്റോകറൻസി മൈനറാണ് നോർമൻ. കണ്ടെത്തിയ മറ്റ് ഖനിത്തൊഴിലാളി സാമ്പിളുകളിൽ നിന്ന് വ്യത്യസ്തമായി, കണ്ടെത്തൽ ഒഴിവാക്കാനും കൂടുതൽ വ്യാപനം തടയാനും സുരക്ഷാ സോഫ്‌റ്റ്‌വെയർ വിശകലനത്തിൽ നിന്ന് മറയ്ക്കാൻ നോർമൻ സാങ്കേതിക വിദ്യകൾ ഉപയോഗിക്കുന്നു.

ഒറ്റനോട്ടത്തിൽ, ഈ ക്ഷുദ്രവെയർ svchost.exe എന്ന പേരിൽ ഒളിഞ്ഞിരിക്കുന്ന ഒരു സാധാരണ ഖനിത്തൊഴിലാളിയാണ്. എന്നിരുന്നാലും, കണ്ടെത്തുന്നതിൽ നിന്ന് മറയ്ക്കാനും കാര്യങ്ങൾ പ്രവർത്തിപ്പിക്കാനും ഇത് കൂടുതൽ രസകരമായ രീതികൾ ഉപയോഗിക്കുന്നതായി പഠനം കണ്ടെത്തി.

ഈ ക്ഷുദ്രവെയറിന്റെ വിന്യാസ പ്രക്രിയയെ മൂന്ന് ഘട്ടങ്ങളായി തിരിക്കാം:

• പ്രകടനം;
• നടപ്പിലാക്കൽ;
• ഖനനം.

ഘട്ടം ഘട്ടമായുള്ള വിശകലനം

ഘട്ടം 1. നിർവ്വഹണം

svchost.exe എന്ന എക്സിക്യൂട്ടബിൾ ഫയലിൽ നിന്നാണ് ആദ്യ ഘട്ടം ആരംഭിക്കുന്നത്.

NSIS (Nullsoft Scriptable Install System) ഉപയോഗിച്ചാണ് ക്ഷുദ്രവെയർ സമാഹരിച്ചിരിക്കുന്നത്, ഇത് അസാധാരണമാണ്. വിൻഡോസ് ഇൻസ്റ്റാളറുകൾ സൃഷ്ടിക്കാൻ ഉപയോഗിക്കുന്ന ഒരു ഓപ്പൺ സോഴ്‌സ് സിസ്റ്റമാണ് NSIS. SFX പോലെ, ഈ സിസ്റ്റം ഫയലുകളുടെ ഒരു ആർക്കൈവും ഇൻസ്റ്റാളർ പ്രവർത്തിക്കുമ്പോൾ എക്സിക്യൂട്ട് ചെയ്യുന്ന ഒരു സ്ക്രിപ്റ്റ് ഫയലും സൃഷ്ടിക്കുന്നു. സ്ക്രിപ്റ്റ് ഫയൽ പ്രോഗ്രാമിനോട് ഏത് ഫയലുകൾ പ്രവർത്തിപ്പിക്കണമെന്നും ആർക്കൈവിലെ മറ്റ് ഫയലുകളുമായി സംവദിക്കാമെന്നും പറയുന്നു.

കുറിപ്പ്: എക്സിക്യൂട്ടബിൾ ഫയലിൽ നിന്ന് ഒരു NSIS സ്ക്രിപ്റ്റ് ഫയൽ ലഭിക്കുന്നതിന്, നിങ്ങൾ 7zip പതിപ്പ് 9.38 ഉപയോഗിക്കണം, കാരണം പിന്നീടുള്ള പതിപ്പുകൾ ഈ സവിശേഷത നടപ്പിലാക്കില്ല.

NSIS ആർക്കൈവുചെയ്‌ത ക്ഷുദ്രവെയറിൽ ഇനിപ്പറയുന്ന ഫയലുകൾ അടങ്ങിയിരിക്കുന്നു:

• CallAnsiPlugin.dll, CLR.dll - .NET DLL ഫംഗ്‌ഷനുകൾ വിളിക്കുന്നതിനുള്ള NSIS മൊഡ്യൂളുകൾ;
• 5zmjbxUIOVQ58qPR.dll - പ്രധാന പേലോഡ് DLL;
• 4jy4sobf.acz, es1qdxg2.5pk, OIM1iVhZ.txt - പേലോഡ് ഫയലുകൾ;
• Retreat.mp3, Cropped_controller_config_controller_i_lb.png കൂടുതൽ ക്ഷുദ്രകരമായ പ്രവർത്തനങ്ങളുമായി യാതൊരു തരത്തിലും ബന്ധമില്ലാത്ത ഫയലുകൾ മാത്രമാണ്.

പേലോഡ് പ്രവർത്തിപ്പിക്കുന്ന NSIS സ്ക്രിപ്റ്റ് ഫയലിൽ നിന്നുള്ള കമാൻഡ് ചുവടെ നൽകിയിരിക്കുന്നു.

മറ്റ് ഫയലുകളെ പാരാമീറ്ററുകളായി എടുക്കുന്ന 5zmjbxUIOVQ58qPR.dll ഫംഗ്‌ഷനിലേക്ക് വിളിച്ചാണ് ക്ഷുദ്രവെയർ നടപ്പിലാക്കുന്നത്.

ഘട്ടം 2. നടപ്പിലാക്കൽ

5zmjbxUIOVQ58qPR.dll ഫയൽ ആണ് പ്രധാന പേലോഡ്, മുകളിലുള്ള NSIS സ്ക്രിപ്റ്റിൽ നിന്ന് കാണാൻ കഴിയും. മെറ്റാഡാറ്റയുടെ ഒരു ദ്രുത വിശകലനം DLL യഥാർത്ഥത്തിൽ Norman.dll എന്നാണ് അറിയപ്പെട്ടിരുന്നത്, അതിനാൽ ഞങ്ങൾ അതിന് പേരിട്ടു.

DLL ഫയൽ .NET-ൽ വികസിപ്പിച്ചതാണ്, കൂടാതെ ട്രിപ്പിൾ അവ്യക്തത വഴി റിവേഴ്സ് എഞ്ചിനീയറിംഗിൽ നിന്ന് സംരക്ഷിക്കപ്പെട്ടിരിക്കുന്നു
അറിയപ്പെടുന്ന വാണിജ്യ ഉൽപ്പന്നമായ Agile .NET Obfuscator ഉപയോഗിക്കുന്നു.

നിർവ്വഹണ സമയത്ത്, സ്വയം കുത്തിവയ്പ്പിന്റെ പല പ്രവർത്തനങ്ങളും അതിന്റെ സ്വന്തം പ്രക്രിയയിലും മറ്റ് പ്രക്രിയകളിലും ഉൾപ്പെടുന്നു. OS ബിറ്റ് ഡെപ്ത് അനുസരിച്ച്, ക്ഷുദ്രവെയർ ചെയ്യും
സിസ്റ്റം ഫോൾഡറുകളിലേക്ക് വ്യത്യസ്ത പാതകൾ തിരഞ്ഞെടുത്ത് വ്യത്യസ്ത പ്രോസസ്സുകൾ സമാരംഭിക്കുക.

സിസ്റ്റം ഫോൾഡർ പാത്ത് അടിസ്ഥാനമാക്കി, ക്ഷുദ്രവെയർ പ്രവർത്തിക്കാൻ വ്യത്യസ്ത പ്രോസസ്സുകൾ തിരഞ്ഞെടുക്കും.

കുത്തിവച്ച പേലോഡിന് രണ്ട് പ്രധാന പ്രവർത്തനങ്ങൾ ഉണ്ട്: ഒരു ക്രിപ്‌റ്റോമിനർ എക്‌സിക്യൂട്ട് ചെയ്യലും കണ്ടെത്തൽ തടയലും.

OS 64-ബിറ്റ് ആണെങ്കിൽ

യഥാർത്ഥ svchosts.exe ഫയൽ (NSIS ഫയൽ) എക്സിക്യൂട്ട് ചെയ്യുമ്പോൾ, അത് സ്വന്തമായി ഒരു പുതിയ പ്രക്രിയ സൃഷ്ടിക്കുകയും പേലോഡ് (1) അതിലേക്ക് കുത്തിവയ്ക്കുകയും ചെയ്യുന്നു. താമസിയാതെ, അത് notepad.exe അല്ലെങ്കിൽ explorer.exe സമാരംഭിക്കുകയും അതിലേക്ക് ക്രിപ്‌റ്റോമിനർ കുത്തിവയ്ക്കുകയും ചെയ്യുന്നു (2).

ഇതിനുശേഷം, യഥാർത്ഥ svchost.exe ഫയൽ പുറത്തുകടക്കുന്നു, കൂടാതെ പുതിയ svchost.exe ഫയൽ മൈനർ പ്രോസസ്സ് നിരീക്ഷിക്കുന്ന ഒരു പ്രോഗ്രാമായി ഉപയോഗിക്കുന്നു.

OS 32-ബിറ്റ് ആണെങ്കിൽ

യഥാർത്ഥ svchosts.exe ഫയൽ (NSIS ഫയൽ) പ്രവർത്തിക്കുമ്പോൾ, അത് അതിന്റെ സ്വന്തം പ്രോസസ്സ് ഡ്യൂപ്ലിക്കേറ്റ് ചെയ്യുകയും പേലോഡ് അതിലേക്ക് 64-ബിറ്റ് പതിപ്പ് പോലെ കുത്തിവയ്ക്കുകയും ചെയ്യുന്നു.

ഈ സാഹചര്യത്തിൽ, ക്ഷുദ്രവെയർ ഉപയോക്താവിന്റെ explorer.exe പ്രോസസ്സിലേക്ക് ഒരു പേലോഡ് കുത്തിവയ്ക്കുന്നു. അവിടെ നിന്ന്, ക്ഷുദ്ര കോഡ് ഒരു പുതിയ പ്രക്രിയ (wuapp.exe അല്ലെങ്കിൽ vchost.exe) സമാരംഭിക്കുകയും അതിലേക്ക് ഒരു ഖനിത്തൊഴിലാളിയെ കുത്തിവയ്ക്കുകയും ചെയ്യുന്നു.

wuapp.exe-ലേക്കുള്ള പാത്ത്, ശൂന്യമായ മൂല്യങ്ങൾ എന്നിവ ഉപയോഗിച്ച് മുമ്പ് കുത്തിവച്ച കോഡ് തിരുത്തിയെഴുതി, explorer.exe-ലേക്ക് സ്വയം കുത്തിവച്ച വസ്തുത ക്ഷുദ്രവെയർ മറയ്ക്കുന്നു.

ഒരു 64-ബിറ്റ് പരിതസ്ഥിതിയിൽ പ്രവർത്തിക്കുമ്പോൾ സംഭവിക്കുന്നതുപോലെ, യഥാർത്ഥ svchost.exe പ്രോസസ്സ് പുറത്തുകടക്കുന്നു, രണ്ടാമത്തേത് ഉപയോക്താവ് പ്രോസസ്സ് അവസാനിപ്പിച്ചാൽ explorer.exe-ലേക്ക് ക്ഷുദ്ര കോഡ് വീണ്ടും കുത്തിവയ്ക്കാൻ ഉപയോഗിക്കുന്നു.

എക്സിക്യൂഷൻ അൽഗോരിതം അവസാനിക്കുമ്പോൾ, ക്ഷുദ്രവെയർ എല്ലായ്പ്പോഴും അത് സമാരംഭിക്കുന്ന നിയമാനുസൃതമായ പ്രക്രിയയിലേക്ക് ഒരു ക്രിപ്‌റ്റോമിനറിനെ കുത്തിവയ്ക്കുന്നു.

ഉപയോക്താവ് ടാസ്‌ക് മാനേജർ സമാരംഭിക്കുമ്പോൾ ഖനിത്തൊഴിലാളിയെ അവസാനിപ്പിക്കുന്നതിലൂടെ കണ്ടെത്തൽ തടയുന്നതിനാണ് ഇത് രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്നത്.

ടാസ്‌ക് മാനേജർ ആരംഭിച്ചതിന് ശേഷം, wuapp.exe പ്രോസസ്സ് അവസാനിക്കുമെന്നത് ശ്രദ്ധിക്കുക.

ടാസ്‌ക് മാനേജർ അടച്ചതിനുശേഷം, ക്ഷുദ്രവെയർ wuapp.exe പ്രോസസ്സ് വീണ്ടും വീണ്ടും ആരംഭിക്കുന്നു
ഖനിത്തൊഴിലാളി അത് അതിൽ കുത്തിവയ്ക്കുന്നു.

ഘട്ടം 3. ഖനിത്തൊഴിലാളി

മുകളിൽ സൂചിപ്പിച്ച XMRig ഖനിത്തൊഴിലാളിയെ പരിഗണിക്കുക.

നോട്ട്പാഡ്, exe, explorer.exe, എന്നിവയിലേക്ക് മൈനറിന്റെ വേഷംമാറിയ UPX പതിപ്പ് ക്ഷുദ്രവെയർ കുത്തിവയ്ക്കുന്നു.
svchost.exe അല്ലെങ്കിൽ wuapp.exe, OS ബിറ്റ് ഡെപ്ത്, എക്സിക്യൂഷൻ അൽഗോരിതത്തിന്റെ ഘട്ടം എന്നിവയെ ആശ്രയിച്ചിരിക്കുന്നു.

മൈനറിലെ PE ഹെഡർ നീക്കം ചെയ്‌തു, ചുവടെയുള്ള സ്‌ക്രീൻഷോട്ടിൽ അത് UPX ഉപയോഗിച്ച് മാസ്ക് ചെയ്‌തിരിക്കുന്നതായി കാണാം.

ഒരു ഡംപ് സൃഷ്‌ടിച്ച് എക്‌സിക്യൂട്ടബിൾ പുനർനിർമ്മിച്ച ശേഷം, ഞങ്ങൾക്ക് അത് പ്രവർത്തിപ്പിക്കാൻ കഴിഞ്ഞു:

ടാർഗെറ്റ് എക്സ്എംആർ സൈറ്റിലേക്കുള്ള ആക്സസ് നിരസിക്കപ്പെട്ടുവെന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്, ഇത് ഈ ഖനിത്തൊഴിലാളിയെ ഫലപ്രദമായി നിർവീര്യമാക്കുന്നു.

മൈനർ കോൺഫിഗറേഷൻ:

"url": "pool.minexmr.com:5555","user":
"49WvfokdnuK6ojQePe6x2M3UCD59v3BQiBszkuTGE7wmNJuyAvHM9ojedgxMwNx9tZA33P84EeMLte7t6qZhxNHqHyfq9xA","pass":"x"

നിഗൂഢമായ PHP ഷെൽ C&C-ലേക്ക് ഡാറ്റ കൈമാറുന്നു

ഈ അന്വേഷണത്തിനിടെ, ഞങ്ങളുടെ ഫോറൻസിക് സംഘം അവരുടെ ശ്രദ്ധ പിടിച്ചുപറ്റിയ ഒരു XSL ഫയൽ കണ്ടെത്തി. സാമ്പിളിന്റെ ആഴത്തിലുള്ള വിശകലനത്തിന് ശേഷം, നിയന്ത്രണ കേന്ദ്രത്തിലേക്ക് (C&C സെർവർ) നിരന്തരം ബന്ധിപ്പിക്കുന്ന ഒരു പുതിയ PHP ഷെൽ കണ്ടെത്തി.

sysWOW64 ഡയറക്‌ടറിയിലെ ഒരു ഫോൾഡറിൽ നിന്ന് അറിയപ്പെടുന്ന ഒരു വിൻഡോസ് എക്‌സിക്യൂട്ടബിൾ (mscorsv.exe) ലോഞ്ച് ചെയ്‌ത ഉപഭോക്താവിന്റെ പരിതസ്ഥിതിയിലെ നിരവധി സെർവറുകളിൽ ഒരു XSL ഫയൽ കണ്ടെത്തി.

ക്ഷുദ്രവെയർ ഫോൾഡറിനെ AutoRecover എന്ന് വിളിക്കുകയും അടങ്ങിയിരിക്കുകയും ചെയ്തു നിരവധി ഫയലുകൾ:

• XSL ഫയൽ: xml.XSL
• ഒമ്പത് DLL ഫയലുകൾ

എക്സിക്യൂട്ടബിൾ ഫയലുകൾ:

• Mscorsv.exe
• Wmiprvse.exe

XSL ഫയൽ

XSL ഫയലുകൾ ഒരു XML പ്രമാണം പ്രദർശിപ്പിക്കുന്നത് എങ്ങനെയെന്ന് വിവരിക്കുന്ന, CSS-ൽ ഉപയോഗിക്കുന്നതു പോലെയുള്ള സ്റ്റൈൽ ഷീറ്റുകളാണ്.

നോട്ട്പാഡ് ഉപയോഗിച്ച്, ഇത് യഥാർത്ഥത്തിൽ ഒരു XSL ഫയലല്ലെന്നും, Zend Guard വഴി അവ്യക്തമാക്കിയ PHP കോഡാണെന്നും ഞങ്ങൾ നിർണ്ണയിച്ചു. ഈ കൗതുകകരമായ വസ്തുത അത് ആണെന്ന് സൂചിപ്പിച്ചു
മാൽവെയറിന്റെ എക്സിക്യൂഷൻ അൽഗോരിതം അടിസ്ഥാനമാക്കിയുള്ള പേലോഡ്.

ഒമ്പത് DLL-കൾ

XSL ഫയലിന്റെ പ്രാഥമിക വിശകലനം അത്തരമൊരു സംഖ്യയുടെ സാന്നിദ്ധ്യം എന്ന നിഗമനത്തിലേക്ക് നയിച്ചു
DLL-കൾക്ക് ഒരു പ്രത്യേക അർത്ഥമുണ്ട്. പ്രധാന ഫോൾഡറിൽ php.dll എന്ന് വിളിക്കുന്ന ഒരു DLL ഉം SSL, MySQL എന്നിവയുമായി ബന്ധപ്പെട്ട മറ്റ് മൂന്ന് ലൈബ്രറികളും അടങ്ങിയിരിക്കുന്നു. ഉപഫോൾഡറുകളിൽ, വിദഗ്ധർ നാല് PHP ലൈബ്രറികളും ഒരു Zend Guard ലൈബ്രറിയും കണ്ടെത്തി. അവയെല്ലാം നിയമാനുസൃതമാണ്, കൂടാതെ PHP ഇൻസ്റ്റലേഷൻ പാക്കേജിൽ നിന്നോ ബാഹ്യ dll കളിൽ നിന്നോ ലഭിക്കുന്നവയാണ്.

ഈ ഘട്ടത്തിൽ, ക്ഷുദ്രവെയർ PHP അടിസ്ഥാനമാക്കി സൃഷ്ടിച്ചതാണെന്നും സെൻഡ് ഗാർഡ് അവ്യക്തമാക്കിയതാണെന്നും അനുമാനിക്കപ്പെട്ടു.

എക്സിക്യൂട്ടബിൾ ഫയലുകൾ

ഈ ഫോൾഡറിൽ രണ്ട് എക്സിക്യൂട്ടബിൾ ഫയലുകൾ ഉണ്ടായിരുന്നു: Mscorsv.exe, Wmiprvse.exe.

mscorsv.exe ഫയൽ വിശകലനം ചെയ്തതിന് ശേഷം, അത് Microsoft സൈൻ ചെയ്തിട്ടില്ലെന്ന് ഞങ്ങൾ നിർണ്ണയിച്ചു, എന്നിരുന്നാലും അതിന്റെ ProductName പാരാമീറ്റർ "Microsoft" ആയി സജ്ജീകരിച്ചിരിക്കുന്നു. നെറ്റ് ഫ്രെയിംവർക്ക്".
ആദ്യം ഇത് വിചിത്രമായി തോന്നി, പക്ഷേ Wmiprvse.exe വിശകലനം ചെയ്യുന്നത് സാഹചര്യം നന്നായി മനസ്സിലാക്കാൻ ഞങ്ങളെ അനുവദിച്ചു.

Wmiprvse.exe ഫയലും ഒപ്പിട്ടിട്ടില്ല, എന്നാൽ അതിൽ ഒരു PHP ഗ്രൂപ്പ് പകർപ്പവകാശ ചിഹ്നവും ഒരു PHP ഐക്കണും അടങ്ങിയിരിക്കുന്നു. അതിന്റെ വരികൾ പെട്ടെന്ന് നോക്കിയാൽ PHP സഹായത്തിൽ നിന്നുള്ള കമാൻഡുകൾ കണ്ടെത്തി. -version സ്വിച്ച് ഉപയോഗിച്ച് എക്സിക്യൂട്ട് ചെയ്തപ്പോൾ, അത് Zend Guard പ്രവർത്തിപ്പിക്കാൻ രൂപകൽപ്പന ചെയ്ത എക്സിക്യൂട്ടബിൾ ഫയലാണെന്ന് കണ്ടെത്തി.

mscorsv.exe സമാനമായ രീതിയിൽ സമാരംഭിച്ചപ്പോൾ, അതേ ഡാറ്റ സ്ക്രീനിൽ പ്രദർശിപ്പിച്ചു. ഈ രണ്ട് ഫയലുകളുടെയും ബൈനറി ഡാറ്റ ഞങ്ങൾ താരതമ്യം ചെയ്തു, മെറ്റാഡാറ്റ ഒഴികെ അവ സമാനമാണെന്ന് കണ്ടു
പകർപ്പവകാശവും കമ്പനിയുടെ പേരും/ഉൽപ്പന്നത്തിന്റെ പേരും.

ഇതിന്റെ അടിസ്ഥാനത്തിൽ, XSL ഫയലിൽ mscorsv.exe എന്ന പേരിൽ മറച്ചിരിക്കുന്ന Zend Guard എക്സിക്യൂട്ടബിൾ ഫയൽ ഉപയോഗിച്ച് പ്രവർത്തിക്കുന്ന PHP കോഡ് അടങ്ങിയിട്ടുണ്ടെന്ന് നിഗമനം ചെയ്തു.

XSL ഫയൽ പാഴ്‌സ് ചെയ്യുന്നു

ഒരു ഇന്റർനെറ്റ് തിരയൽ ഉപയോഗിച്ച്, സ്പെഷ്യലിസ്റ്റുകൾ പെട്ടെന്ന് Zend Guard deobfuscation ടൂൾ നേടുകയും xml.XSL ഫയലിന്റെ യഥാർത്ഥ രൂപം പുനഃസ്ഥാപിക്കുകയും ചെയ്തു:

ക്ഷുദ്രവെയർ തന്നെ ഒരു പിഎച്ച്പി ഷെല്ലാണ്, അത് നിയന്ത്രണ കേന്ദ്രവുമായി (സി & സി സെർവർ) നിരന്തരം ബന്ധിപ്പിച്ചിരിക്കുന്നു.

അത് അയയ്ക്കുകയും സ്വീകരിക്കുകയും ചെയ്യുന്ന കമാൻഡുകളും ഔട്ട്പുട്ടും എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു. ഞങ്ങൾക്ക് സോഴ്സ് കോഡ് ഉള്ളതിനാൽ, ഞങ്ങൾക്ക് എൻക്രിപ്ഷൻ കീയും കമാൻഡുകളും ഉണ്ടായിരുന്നു.

ഈ ക്ഷുദ്രവെയറിൽ ഇനിപ്പറയുന്ന അന്തർനിർമ്മിത പ്രവർത്തനം അടങ്ങിയിരിക്കുന്നു:

• Eval - കോഡിലെ നിലവിലുള്ള വേരിയബിളുകൾ പരിഷ്കരിക്കാൻ സാധാരണയായി ഉപയോഗിക്കുന്നു
• പ്രാദേശിക ഫയൽ റെക്കോർഡിംഗ്
• ഡാറ്റാബേസുമായി പ്രവർത്തിക്കാനുള്ള സാധ്യതകൾ
• PSEXEC-നൊപ്പം പ്രവർത്തിക്കാനുള്ള സാധ്യതകൾ
• മറഞ്ഞിരിക്കുന്ന വധശിക്ഷ
• മാപ്പിംഗ് പ്രക്രിയകളും സേവനങ്ങളും

ക്ഷുദ്രവെയറിന് ഒന്നിലധികം പതിപ്പുകൾ ഉണ്ടെന്ന് ഇനിപ്പറയുന്ന വേരിയബിൾ സൂചിപ്പിക്കുന്നു.

സാമ്പിളുകൾ ശേഖരിക്കുമ്പോൾ, ഇനിപ്പറയുന്ന പതിപ്പുകൾ കണ്ടെത്തി:

• ക്സനുമ്ക്സഫ്
• 0.4p
• 0.4

സിസ്റ്റത്തിൽ ക്ഷുദ്രവെയറിന്റെ സ്ഥിരമായ സാന്നിധ്യം ഉറപ്പാക്കുന്നതിനുള്ള ഒരേയൊരു പ്രവർത്തനം എക്സിക്യൂട്ട് ചെയ്യുമ്പോൾ, അത് സ്വയം എക്സിക്യൂട്ട് ചെയ്യുന്ന ഒരു സേവനവും അതിന്റെ പേരും സൃഷ്ടിക്കുന്നു എന്നതാണ്.
പതിപ്പിൽ നിന്ന് പതിപ്പിലേക്ക് മാറുന്നു.

വിദഗ്ധർ ഇന്റർനെറ്റിൽ സമാനമായ സാമ്പിളുകൾ കണ്ടെത്താൻ ശ്രമിക്കുകയും ക്ഷുദ്രവെയർ കണ്ടെത്തുകയും ചെയ്തു
അവരുടെ അഭിപ്രായത്തിൽ, നിലവിലുള്ള സാമ്പിളിന്റെ മുൻ പതിപ്പായിരുന്നു അത്. ഫോൾഡറിലെ ഉള്ളടക്കങ്ങൾ സമാനമാണ്, എന്നാൽ XSL ഫയൽ വ്യത്യസ്തവും മറ്റൊരു പതിപ്പ് നമ്പറും ഉണ്ടായിരുന്നു.

പാർലെ-വു മാൽവെയർ?

ക്ഷുദ്രവെയർ ഫ്രാൻസിൽ നിന്നോ ഫ്രഞ്ച് സംസാരിക്കുന്ന മറ്റൊരു രാജ്യത്തിൽ നിന്നോ ഉണ്ടായതാകാം: SFX ഫയലിൽ ഫ്രഞ്ച് ഭാഷയിൽ അഭിപ്രായങ്ങൾ ഉണ്ടായിരുന്നു, ഇത് സൃഷ്ടിക്കാൻ രചയിതാവ് WinRAR-ന്റെ ഫ്രഞ്ച് പതിപ്പാണ് ഉപയോഗിച്ചതെന്ന് സൂചിപ്പിക്കുന്നു.

കൂടാതെ, കോഡിലെ ചില വേരിയബിളുകളും ഫംഗ്ഷനുകളും ഫ്രഞ്ചിൽ നാമകരണം ചെയ്യപ്പെട്ടു.

നിർവ്വഹണം നിരീക്ഷിക്കുകയും പുതിയ കമാൻഡുകൾക്കായി കാത്തിരിക്കുകയും ചെയ്യുന്നു

വിദഗ്‌ധർ ക്ഷുദ്രവെയർ കോഡ് പരിഷ്‌ക്കരിക്കുകയും ഇതിനകം പരിഷ്‌കരിച്ചത് സുരക്ഷിതമായി സമാരംഭിക്കുകയും ചെയ്തു
ലഭിച്ച കമാൻഡുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ ശേഖരിക്കുന്നതിനുള്ള പതിപ്പ്.

ആദ്യ ആശയവിനിമയ സെഷന്റെ അവസാനം, EVAL64 ലോഞ്ച് കീയുടെ ആർഗ്യുമെന്റായി Base64 ഉപയോഗിച്ച് എൻകോഡ് ചെയ്ത ഒരു കമാൻഡ് ക്ഷുദ്രവെയറിന് ലഭിച്ചതായി വിദഗ്ധർ കണ്ടു.
ഈ കമാൻഡ് ഡീകോഡ് ചെയ്ത് എക്സിക്യൂട്ട് ചെയ്യുന്നു. ഇത് നിരവധി ആന്തരിക വേരിയബിളുകൾ മാറ്റുന്നു (ബഫർ വലുപ്പങ്ങൾ വായിക്കുകയും എഴുതുകയും ചെയ്യുക), അതിനുശേഷം ക്ഷുദ്രവെയർ കമാൻഡുകൾക്കായി കാത്തിരിക്കുന്ന ഒരു വർക്ക് സൈക്കിളിലേക്ക് പ്രവേശിക്കുന്നു.

നിലവിൽ, പുതിയ കമാൻഡുകളൊന്നും ലഭിച്ചിട്ടില്ല.

ഇന്ററാക്ടീവ് PHP ഷെല്ലും ക്രിപ്‌റ്റോമിനറും: അവയുമായി ബന്ധമുണ്ടോ?

ഈ അനുമാനത്തെ അനുകൂലിച്ചും പ്രതികൂലിച്ചും ശക്തമായ വാദങ്ങൾ ഉള്ളതിനാൽ, ഒരു PHP ഷെല്ലുമായി നോർമൻ ബന്ധപ്പെട്ടിട്ടുണ്ടോ എന്ന് വരോണിസ് സ്പെഷ്യലിസ്റ്റുകൾക്ക് ഉറപ്പില്ല:

എന്തുകൊണ്ട് അവർ ബന്ധപ്പെട്ടിരിക്കാം?

• വിവിധ നെറ്റ്‌വർക്ക് സെഗ്‌മെന്റുകളിലെ വിവിധ ഉപകരണങ്ങളിൽ കണ്ടെത്തിയെങ്കിലും, ക്ഷുദ്രകരമായ ക്രിപ്‌റ്റോമൈനിംഗ് സോഫ്‌റ്റ്‌വെയർ സാമ്പിളുകൾക്കൊന്നും മറ്റ് സിസ്റ്റങ്ങളിലേക്ക് സ്വതന്ത്രമായി വ്യാപിക്കാനുള്ള കഴിവില്ല. ആക്രമണകാരി ഓരോ നോഡിലും വെവ്വേറെ അണുബാധയുണ്ടാകാൻ സാധ്യതയുണ്ട് (ഒരുപക്ഷേ, രോഗി സീറോയെ ബാധിക്കുമ്പോൾ അതേ ആക്രമണ വെക്റ്റർ ഉപയോഗിച്ച്), എന്നിരുന്നാലും ആക്രമണത്തിന്റെ ലക്ഷ്യമായ നെറ്റ്‌വർക്കിലുടനീളം വ്യാപിക്കാൻ PHP ഷെൽ ഉപയോഗിക്കുന്നത് കൂടുതൽ ഫലപ്രദമായിരിക്കും.
• ഒരു നിർദ്ദിഷ്‌ട ഓർഗനൈസേഷനെതിരെയുള്ള വലിയ തോതിലുള്ള, ടാർഗെറ്റുചെയ്‌ത ഓട്ടോമേറ്റഡ് കാമ്പെയ്‌നുകൾ പലപ്പോഴും സാങ്കേതിക പുരാവസ്തുക്കളോ സൈബർ സുരക്ഷാ ഭീഷണികളുടെ തിരിച്ചറിയാവുന്ന അടയാളങ്ങളോ അവശേഷിപ്പിക്കുന്നു. ഈ സാഹചര്യത്തിൽ, ഇത്തരത്തിലുള്ള ഒന്നും കണ്ടെത്തിയില്ല.
• നോർമനും PHP ഷെല്ലും DuckDNS സേവനം ഉപയോഗിച്ചു.

എന്തുകൊണ്ടാണ് അവർ തമ്മിൽ ബന്ധമില്ലാത്തത്?

• ക്രിപ്‌റ്റോമൈനിംഗ് ക്ഷുദ്രവെയർ വേരിയന്റുകളും PHP ഷെല്ലും തമ്മിൽ സാങ്കേതിക സമാനതകളൊന്നുമില്ല. ക്ഷുദ്രകരമായ ക്രിപ്‌റ്റോമിനർ C++-ലും ഷെൽ PHP-ലും സൃഷ്‌ടിക്കപ്പെട്ടിരിക്കുന്നു. കൂടാതെ, കോഡ് ഘടനയിൽ സമാനതകളൊന്നുമില്ല, കൂടാതെ നെറ്റ്വർക്ക് ഫംഗ്ഷനുകൾ വ്യത്യസ്തമായി നടപ്പിലാക്കുന്നു.
• ഡാറ്റ കൈമാറ്റം ചെയ്യുന്നതിനായി ക്ഷുദ്രവെയർ വേരിയന്റുകളും PHP ഷെല്ലും തമ്മിൽ നേരിട്ട് ആശയവിനിമയം ഇല്ല.
• അവർ ഡെവലപ്പർ കമന്റുകളോ ഫയലുകളോ മെറ്റാഡാറ്റയോ ഡിജിറ്റൽ ഫിംഗർപ്രിന്റുകളോ പങ്കിടില്ല.

റിമോട്ട് ഷെല്ലുകളിൽ നിന്ന് സംരക്ഷിക്കുന്നതിനുള്ള മൂന്ന് ശുപാർശകൾ

നിയന്ത്രണ കേന്ദ്രത്തിൽ നിന്ന് (C&C സെർവറുകൾ) നിന്ന് കമാൻഡുകൾ ആവശ്യമുള്ള മാൽവെയർ, സാധാരണ വൈറസുകൾ പോലെയല്ല. അവന്റെ പ്രവർത്തനങ്ങൾ അത്ര പ്രവചിക്കാവുന്നതല്ല, കൂടാതെ ഓട്ടോമേറ്റഡ് ടൂളുകളോ സ്‌ക്രിപ്റ്റുകളോ ഇല്ലാതെ നടത്തുന്ന ഒരു ഹാക്കറുടെയോ പെന്റസ്റ്ററിന്റെയോ പ്രവർത്തനങ്ങളുമായി സാമ്യമുള്ളതായിരിക്കും. അതിനാൽ, ക്ഷുദ്രവെയർ ഒപ്പുകളില്ലാതെ ഈ ആക്രമണങ്ങൾ കണ്ടെത്തുന്നത് സാധാരണ ആന്റിവൈറസ് സ്കാനിംഗിനെക്കാൾ വെല്ലുവിളിയാണ്.

റിമോട്ട് ഷെല്ലുകളിൽ നിന്ന് കമ്പനികളെ സംരക്ഷിക്കുന്നതിനുള്ള മൂന്ന് ശുപാർശകൾ ചുവടെയുണ്ട്:

1. എല്ലാ സോഫ്റ്റ്വെയറുകളും അപ് ടു ഡേറ്റ് ആയി സൂക്ഷിക്കുക
   ഒരു ഓർഗനൈസേഷന്റെ നെറ്റ്‌വർക്കിലുടനീളം വ്യാപിക്കാനും താൽപ്പര്യമുള്ള ഡാറ്റ തിരയാനും ആക്രമണകാരികൾ സോഫ്റ്റ്‌വെയർ, ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളിലെ കേടുപാടുകൾ ഉപയോഗിക്കുന്നു
   മോഷണം. സമയബന്ധിതമായ പാച്ചിംഗ് അത്തരം ഭീഷണികളുടെ അപകടസാധ്യത ഗണ്യമായി കുറയ്ക്കുന്നു.
2. അസാധാരണമായ ഡാറ്റ ആക്സസ് ഇവന്റുകൾ നിരീക്ഷിക്കുക
   മിക്കവാറും, ആക്രമണകാരികൾ ഓർഗനൈസേഷന്റെ രഹസ്യ ഡാറ്റ പരിധിക്കപ്പുറത്തേക്ക് കൊണ്ടുപോകാൻ ശ്രമിക്കും. ഈ ഡാറ്റയിലേക്കുള്ള അസാധാരണ ആക്‌സസ് ഇവന്റുകൾ നിരീക്ഷിക്കുന്നത് അനുവദിക്കും
   വിട്ടുവീഴ്ച ചെയ്യപ്പെടുന്ന ഉപയോക്താക്കളെയും ആക്രമണകാരികളുടെ കൈകളിൽ അകപ്പെട്ടേക്കാവുന്ന മുഴുവൻ ഫോൾഡറുകളും ഫയലുകളും കണ്ടെത്തുക, മാത്രമല്ല ഈ ഉപയോക്താക്കൾക്ക് ലഭ്യമായ എല്ലാ ഡാറ്റയും പരിഗണിക്കുക.
3. നെറ്റ്‌വർക്ക് ട്രാഫിക് നിരീക്ഷിക്കുക
   ഒരു ഫയർവാൾ കൂടാതെ/അല്ലെങ്കിൽ പ്രോക്സി സെർവർ ഉപയോഗിക്കുന്നതിലൂടെ ക്ഷുദ്രവെയർ നിയന്ത്രണ കേന്ദ്രങ്ങളിലേക്കുള്ള (C&C സെർവറുകൾ) ക്ഷുദ്രകരമായ കണക്ഷനുകൾ കണ്ടെത്താനും തടയാനും കഴിയും, കമാൻഡുകൾ നടപ്പിലാക്കുന്നതിൽ നിന്ന് ആക്രമണകാരികളെ തടയുകയും അത് കൂടുതൽ ബുദ്ധിമുട്ടാക്കുകയും ചെയ്യുന്നു
   ചുറ്റളവ് ഡാറ്റ.

ഗ്രേ ഖനനത്തിന്റെ പ്രശ്നത്തെക്കുറിച്ച് ആശങ്കയുണ്ടോ? സംരക്ഷണത്തിനായി ആറ് ശുപാർശകൾ:

1. എല്ലാ ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളും കാലികമായി നിലനിർത്തുക
   വിഭവങ്ങളുടെ ദുരുപയോഗവും ക്ഷുദ്രവെയർ അണുബാധകളും തടയുന്നതിന് പാച്ച് മാനേജ്മെന്റ് വളരെ പ്രധാനമാണ്.
2. നെറ്റ്‌വർക്ക് ട്രാഫിക്കും വെബ് പ്രോക്സികളും നിയന്ത്രിക്കുക
   ചില ആക്രമണങ്ങൾ കണ്ടെത്തുന്നതിന് ഇത് ചെയ്യുക, അവയിൽ ചിലത് തടയുന്നതിന് നിങ്ങൾക്ക് ക്ഷുദ്രകരമായ ഡൊമെയ്‌നുകളെക്കുറിച്ചുള്ള വിവരങ്ങളുടെ അടിസ്ഥാനത്തിൽ ട്രാഫിക് തടയാം അല്ലെങ്കിൽ അനാവശ്യ ഡാറ്റാ ട്രാൻസ്മിഷൻ ചാനലുകൾ പരിമിതപ്പെടുത്താം.
3. ആന്റിവൈറസ് സൊല്യൂഷനുകളും എൻഡ്‌പോയിന്റ് സുരക്ഷാ സംവിധാനങ്ങളും ഉപയോഗിക്കുകയും പരിപാലിക്കുകയും ചെയ്യുക (എന്നാൽ ഒരു തരത്തിലും ഈ സംരക്ഷണ പാളി ഉപയോഗിക്കുന്നതിന് സ്വയം പരിമിതപ്പെടുത്തരുത്).
   എൻഡ്‌പോയിന്റ് ഉൽപ്പന്നങ്ങൾക്ക് അറിയപ്പെടുന്ന ക്രിപ്‌റ്റോമിനറുകൾ കണ്ടെത്താനും സിസ്റ്റം പ്രകടനത്തിനും ഊർജ്ജ ഉപയോഗത്തിനും കേടുപാടുകൾ വരുത്തുന്നതിന് മുമ്പ് അണുബാധ തടയാനും കഴിയും. പുതിയ പരിഷ്‌ക്കരണങ്ങളോ കണ്ടെത്തൽ തടയുന്നതിനുള്ള പുതിയ രീതികളോ അതേ മാൽവെയറിന്റെ പുതിയ പതിപ്പുകൾ കണ്ടെത്തുന്നതിൽ എൻഡ്‌പോയിന്റ് സുരക്ഷ പരാജയപ്പെടുന്നതിന് കാരണമായേക്കാമെന്ന് ദയവായി ശ്രദ്ധിക്കുക.
4. കമ്പ്യൂട്ടർ സിപിയു പ്രവർത്തനം നിരീക്ഷിക്കുക
   സാധാരണഗതിയിൽ, ക്രിപ്‌റ്റോ ഖനിത്തൊഴിലാളികൾ ഖനനത്തിനായി കമ്പ്യൂട്ടറിന്റെ സെൻട്രൽ പ്രോസസർ ഉപയോഗിക്കുന്നു. പ്രകടനത്തിലെ കുറവിനെക്കുറിച്ചുള്ള ഏതെങ്കിലും സന്ദേശങ്ങൾ വിശകലനം ചെയ്യേണ്ടത് ആവശ്യമാണ് ("എന്റെ കമ്പ്യൂട്ടർ മന്ദഗതിയിലാകാൻ തുടങ്ങി.").
5. ഡൈനാമിക് DNS സേവനങ്ങളുടെ അസാധാരണമായ ഉപയോഗത്തിനായി DNS നിരീക്ഷിക്കുക (DuckDNS പോലെ)

   DuckDNS ഉം മറ്റ് ഡൈനാമിക് DNS സേവനങ്ങളും സിസ്റ്റത്തിന് അന്തർലീനമായി ദോഷകരമല്ലെങ്കിലും, ക്ഷുദ്രവെയർ വഴി DuckDNS ഉപയോഗിക്കുന്നത് ഞങ്ങളുടെ അന്വേഷണ സംഘങ്ങൾക്ക് രോഗബാധിതരായ ഹോസ്റ്റുകളെ കണ്ടെത്തുന്നത് എളുപ്പമാക്കി.

6. ഒരു സംഭവ പ്രതികരണ പദ്ധതി വികസിപ്പിക്കുക
   ഗ്രേ ക്രിപ്‌റ്റോ ഖനനത്തിന്റെ ഭീഷണി സ്വയമേവ കണ്ടെത്തുന്നതിനും ഉൾക്കൊള്ളുന്നതിനും ലഘൂകരിക്കുന്നതിനും അത്തരം സംഭവങ്ങൾക്ക് ആവശ്യമായ നടപടിക്രമങ്ങൾ നിങ്ങളുടെ പക്കലുണ്ടെന്ന് ഉറപ്പാക്കുക.

വരോണിസ് ഉപഭോക്താക്കൾക്കുള്ള കുറിപ്പ്.
വരോണിസ് ഡാറ്റ അലേർട്ട് ക്രിപ്‌റ്റോമൈനിംഗ് ക്ഷുദ്രവെയർ കണ്ടെത്തുന്നത് പ്രവർത്തനക്ഷമമാക്കുന്ന ഭീഷണി മോഡലുകൾ ഉൾപ്പെടുന്നു. കരിമ്പട്ടികയിൽ ഉൾപ്പെടുത്താനുള്ള സ്ഥാനാർത്ഥികളായ ഡൊമെയ്‌നുകളെ അടിസ്ഥാനമാക്കി സോഫ്‌റ്റ്‌വെയർ കണ്ടെത്തൽ ടാർഗെറ്റുചെയ്യുന്നതിന് ഉപഭോക്താക്കൾക്ക് ഇഷ്‌ടാനുസൃത നിയമങ്ങൾ സൃഷ്‌ടിക്കാനും കഴിയും. നിങ്ങൾ DatAlert-ന്റെ ഏറ്റവും പുതിയ പതിപ്പാണ് പ്രവർത്തിപ്പിക്കുന്നതെന്നും ശരിയായ ഭീഷണി മോഡലുകൾ ഉപയോഗിക്കുന്നുണ്ടെന്നും ഉറപ്പാക്കാൻ, നിങ്ങളുടെ സെയിൽസ് പ്രതിനിധിയുമായോ വരോണിസ് പിന്തുണയുമായോ ബന്ധപ്പെടുക.

അവലംബം: www.habr.com