Ejecución: Regla de YARA para la minería de criptomonedas

En este documento, se describe un tipo de hallazgo de amenazas de Security Command Center. Los detectores de amenazas generan hallazgos de amenazas cuando identifican una posible amenaza en tus recursos de Cloud. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.

Descripción general

VM Threat Detection detectó actividades de minería de criptomonedas mediante la comparación de patrones de memoria, como las constantes de prueba de trabajo, que el software de minería de criptomonedas usa.

Cómo se debe responder

Para responder a este hallazgo, sigue los pasos que se indican a continuación:

Paso 1: Revisa los detalles del hallazgo

  1. Abre un hallazgo Execution: Cryptocurrency Mining YARA Rule, como se indica en Revisa los hallazgos. Se abre el panel de detalles del hallazgo en la pestaña Resumen.

  2. En la pestaña Resumen, revisa la información de las secciones siguientes:

    • Qué se detectó, en especial, los campos siguientes:

      • Nombre de la regla de YARA: Es la regla que se activa para los detectores de YARA.
      • Objeto binario del programa: Es la ruta de acceso absoluta del proceso.
      • Argumentos: Son los argumentos que se proporcionan cuando se invoca el objeto binario del proceso.
      • Nombres de procesos: Es el nombre de los procesos que se ejecutan en la instancia de VM asociada con las coincidencias de firma detectadas.

      VM Threat Detection puede reconocer compilaciones de kernel de las principales distribuciones de Linux. Si puede reconocer la compilación del kernel de la VM afectada, puede identificar los detalles del proceso de la aplicación y propagar el campo processes del hallazgo. Si VM Threat Detection no puede reconocer el kernel (por ejemplo, si el kernel está compilado de forma personalizada), el campo processes del hallazgo no se propaga.

    • Recurso afectado, en especial, los campos siguientes:

      • Nombre completo del recurso: Es el nombre completo del recurso de la instancia de VM afectada, incluido el ID del proyecto que la contiene.

    • Vínculos relacionados, en especial los campos siguientes:

      • URI de Cloud Logging: Es el vínculo a las entradas de Logging.
      • Método MITRE ATT&CK: Es el vínculo a la documentación de MITRE ATT&CK.
      • Hallazgos relacionados: Son los vínculos a los hallazgos relacionados.
      • Indicador de VirusTotal: Es el vínculo a la página de análisis de VirusTotal.

  3. Para ver el archivo JSON completo de este hallazgo, en la vista de detalles, haz clic en la pestaña JSON.

Paso 2: Revisa los registros

  1. En la Google Cloud consola de, accede al Explorador de registros.

    Ir al Explorador de registros

  2. En la barra de herramientas de la Google Cloud consola, elige el proyecto que contiene la instancia de VM, como se especifica en la fila Nombre completo del recurso de la pestaña Resumen de los detalles del hallazgo.

  3. Revisa los registros para detectar indicios de intrusión en la instancia de VM afectada. Por ejemplo, comprueba si hay actividades sospechosas o desconocidas y si hay indicios de credenciales vulneradas.

Paso 3: Revisa los permisos y la configuración

  1. En la pestaña Resumen de los detalles del hallazgo, haz clic en el vínculo del campo Nombre completo del recurso.
  2. Revisa los detalles de la instancia de VM, incluida la configuración de red y acceso.

Paso 4: Investiga los métodos de ataque y respuesta

  1. Revisa las entradas del framework de MITRE ATT&CK para la Ejecución.
  2. Para desarrollar un plan de respuesta, combina los resultados de la investigación con la investigación del MITRE.

Paso 5: Implementa la respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas durante la investigación para determinar la mejor manera de resolver los hallazgos.

Para ayudar con la detección y la eliminación, usa una solución de detección y respuesta de extremos.

  1. Comunícate con el propietario de la VM.

  2. Confirma si la aplicación es una aplicación de minería:

    • Si el nombre del proceso y la ruta de acceso binaria de la aplicación detectada están disponibles, considera los valores de las filas Objeto binario del programa, Argumentos y Nombres de procesos en la pestaña Resumen de los detalles del hallazgo en tu investigación.

    • Examina los procesos en ejecución, en especial, los procesos con un uso alto de CPU, para ver si hay alguno que no reconozcas. Determina si las aplicaciones asociadas son aplicaciones de minería.

    • Busca en los archivos del almacenamiento cadenas comunes que usan las aplicaciones de minería, como btc.com, ethminer, xmrig, cpuminer, y randomx. Para obtener más ejemplos de cadenas que puedes buscar, consulta Nombres de software y reglas de YARA y la documentación relacionada de cada software que aparece en la lista.

  3. Si determinas que la aplicación es una aplicación de minería y su proceso aún se está ejecutando, finaliza el proceso. Ubica el objeto binario ejecutable de la aplicación en el almacenamiento de la VM y bórralo.

  4. Si es necesario, detén la instancia comprometida y reemplázala por una nueva.

¿Qué sigue?