超融合檢測探針系統（CS）又立功了
發布時間 2019-01-15
說到 “又” 立功
好漢不得不提一下
去年的 英勇 事件
那這次 立功 又是什么情況呢？
請繼續往下看……
發現“挖礦事件”
近期某用戶采購了一批CS系統，在2019年1月11號對CS系統實施部署，部署當天就告警了大量“TCP_木馬_CoinMiner_嘗試連接礦池”攻擊事件。
木馬病毒種類繁多，XMRig挖礦木馬程序僅僅屬于其中一類，XMRig木馬并非以破壞為目的，而是出于“門羅幣”“比特幣”等虛擬幣價格不菲，通過XMRig木馬借助服務器資源挖取虛擬幣。
安全專家認為，如果CS系統告警準確，那么目的IP（94.130.64.225）應該存在很大問題。果不其然，專家通過啟明星辰威脅情報平臺VenusEye對目的IP進行查詢，發現該IP已存在諸多不良記錄。
“XMRig”露出真面目
經過安全專家的上述分析，雖然可以初步判定用戶服務器被植入了XMRig挖礦木馬程序，但想要完全確認XMRig木馬的存在，還需要找到這臺受害服務器。
安全專家向用戶提出申請，經用戶同意，獲得了受害服務器的訪問權限，通過查看受害主機的process信息，發現了XMRig進程的存在。數據顯示，XMRig程序占用了服務器的大量資源，直接影響了服務器正常業務的運行。
通過XMRig木馬的挖礦行為，再次證明了CS系統的攻擊檢測能力。
消滅“XMRig”，拯救用戶服務器
既然都發現了XMRig木馬的存在，肯定不能善罷甘休。下面是對XMRig木馬程序停止運行的簡單處理過程。
? 刪除系統的計劃任務
京公網安備11010802024551號