Impatto: attività sospetta di cryptomining mediante il protocollo Stratum

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati di minaccia vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle risorse cloud. Per un elenco completo dei risultati di minaccia disponibili, consulta l'indice dei risultati di minaccia.

Panoramica

È stato rilevato un processo che comunica tramite il protocollo Stratum, di uso comune per il software di mining di criptovalute. Questa attività suggerisce potenziali operazioni di mining non autorizzate nell'ambiente container. Gli autori degli attacchi spesso eseguono il deployment di miner di criptovalute per sfruttare le risorse di sistema a scopo di lucro, con conseguente degrado delle prestazioni, aumento dei costi operativi e potenziali rischi per la sicurezza. Il rilevamento di questa attività contribuisce a mitigare l'uso illecito delle risorse e l'accesso non autorizzato.

Cloud Run Threat Detection è l'origine di questo risultato.

Come rispondere

Per rispondere a questo risultato:

Esamina i dettagli del risultato

  1. Apri il risultato Impact: Suspicious crypto mining activity using the Stratum Protocol come indicato in Esaminare i risultati. Esamina i dettagli nelle schede Riepilogo e JSON.

  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni.

    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • Programma binario: il percorso assoluto del file binario eseguito
      • Argomenti: gli argomenti passati durante l'esecuzione del file binario
    • Risorsa interessata, in particolare i seguenti campi:

  3. Nella scheda JSON, prendi nota dei seguenti campi.

    • resource:
      • project_display_name: il nome del progetto che contiene la risorsa Cloud Run interessata
    • finding:
      • processes:
        • binary:
        • path: il percorso completo del file binario eseguito
      • args: gli argomenti forniti durante l'esecuzione del file binario

  4. Identifica altri risultati che si sono verificati in un momento simile per il container interessato. I risultati correlati potrebbero indicare che questa attività era dannosa, anziché un mancato rispetto delle best practice.

  5. Esamina le impostazioni del container interessato.

  6. Controlla i log del container interessato.

Ricerca metodi di attacco e risposta

  1. Esamina le voci del framework MITRE ATT&CK per questo tipo di risultato: Resource Hijacking.
  2. Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.

Implementa la risposta

Per i consigli sulla risposta, consulta Rispondere ai risultati di minaccia di Cloud Run findings.

Passaggi successivi