XMRig - открытый майнер Monero, исходники которого лежат на GitHub. Сам по себе он безвреден: обычная утилита, считающая хеши на центральном процессоре. Проблема в другом. На большинстве машин, где находят XMRig, его никто не устанавливал, а процессор работает под полной нагрузкой неделями. Жертва платит за электричество и облачные ресурсы, сервисы тормозят, а майнер замечают далеко не сразу.
Описание
Проникает он чаще всего туда, где оставили открытым RDP или SSH со слабым паролем. Атака полным перебором (брутфорс) занимает часы, после чего злоумышленник запускает скрипт установки. Затем идёт закрепление в системе: майнер прописывают службой или задачей в планировщике, маскируют под системный процесс, иногда внедряют в чужой процесс, чтобы не светиться в списке задач. Настройки хранятся в config.json - адрес пула, кошелёк, число потоков; в скомпрометированных сборках файл шифруют или прячут в теле исполняемого файла. Перед запуском такие сборки проверяют окружение: наличие отладчика, признаки песочницы (изолированной среды), число ядер. Найденный антивирус пытаются отключить через групповые политики или реестр.
Обнаружение строится на поведении, а не на сигнатурах. Присмотритесь к серверам с ровной загрузкой CPU в нерабочие часы и к исходящим соединениям на незнакомые адреса по протоколу Stratum. Новые службы и задачи планировщика на рядовых узлах тоже повод проверить хост. Средства обнаружения и реагирования на конечных точках ловят внедрение в процесс и подозрительные цепочки запуска. Закрытый из интернета RDP, SSH за VPN, стойкие пароли и управление исправлениями снимают большую часть поводов для такой установки.
Индикаторы компрометации
