Enquête sur la compromission d'un logiciel malveillant de crypto-monnaie sur un serveur Windows

Cet article nous aidera à identifier les instances possibles de logiciels malveillants de crypto-monnaie.

Symptômes

Voici quelques-uns des symptômes que votre serveur peut présenter en cas de présence d'un crypto malware :

Serveur lent.
Utilisation élevée du processeur.
Utilisation élevée du GPU.
Utilisation élevée de la bande passante ET connexions réseau à des points de terminaison inhabituels

Vérification du CPU/GPU et des répertoires.

Vérifiez l'état de votre CPU/GPU, généralement la crypto-monnaie utilise à la fois le CPU et le GPU à 100 % de sa capacité.
Vérifiez "C:\Windows\system32" pour les fichiers ".dll" récemment créés.
Sur les propriétés de ces fichiers, vous remarquerez que le "nom de fichier d'origine" était test.dll

Vérification des services et planificateur de tâches

Nous pouvons démarrer "services.msc" pour voir les services actifs sur notre système.
Recherchez les services qui n'ont pas de description.
En ouvrant notre planificateur de tâches, nous pouvons voir les tâches programmées pour être démarrées à une certaine heure pour nous assurer que les composants du logiciel publicitaire sont toujours présents.
Vous remarquerez que l'auteur de la tâche est le groupe d'administrateurs de serveurs ou SYSTEM.

Vérification des connexions de port.

Avec netstat ou procexp, nous pouvons vérifier à quels processus nous sommes connectés.
Nous devons garder un œil sur les ports suivants car ils sont utilisés par les logiciels malveillants de crypto-monnaie :14433, 14444, 3333, 3334, 3335, 3336, 4444, 45560, 45700, 5555, 5556, 6666, 7777, 8788, 8888 , 8899, 9999

Vérification de l'utilisation de la bande passante

Une utilisation inattendue et soutenue de la bande passante est souvent un symptôme courant. Étant donné que les attaquants compromettent généralement les systèmes dans l'intention d'y exécuter un service réseau, un service peut être en cours d'exécution sur le système. L'écoute d'un port étrange peut donc indiquer un serveur compromis.

Pour examiner les connexions réseau pour TCP, exécutez la commande suivante dans PowerShell :
```
NetStat -naop 'TCP'
```
Pour vérifier les connexions réseau pour UDP, exécutez la commande suivante :
```
NetStat** -naop 'UDP'
```
Pour compter des connexions spécifiques, exécutez l'une des commandes suivantes :
```
NetStat** -naop 'TCP'
find /c ":<port>"
```

REMARQUE : Le TCP Sysinternal view offre des outils graphiques alternatifs pour cette revue.

Ce type de malware est très difficile à trouver car il prend la configuration racine comme s'il s'agissait d'un utilisateur administrateur, et les processus prennent des fichiers ou des répertoires utilisés par le système d'exploitation.

Une bonne recommandation pour éviter cela est de bloquer les connexions de port aux pools de minage bien connus comme ceux indiqués dans cet article, de garder notre logiciel antimalware à jour et d'utiliser la liste blanche pour les applications. Si jamais vous trouvez cela type de symptômes sur votre système contactez le support technique, car cela pourrait endommager à la fois l'infrastructure du client et de l'espace rack.