이 문서에서는 Security Command Center의 위협 발견 항목 유형에 대해 설명합니다. 위협 발견 항목은 위협 감지기가 클라우드 리소스에서 잠재적인 위협을 감지할 때 생성됩니다. 사용 가능한 위협 발견 항목의 전체 목록은 위협 발견 항목 색인을 참고하세요.
개요
VM Threat Detection에서 실행 중인 프로그램의 메모리 해시를 알려진 암호화폐 채굴 소프트웨어의 메모리 해시와 일치시켜 암호화폐 채굴 활동을 감지했습니다.
대응 방법
이 발견 항목에 대응하려면 다음을 수행하세요.
1단계: 발견 항목 세부정보 검토하기
발견 항목 검토의 지시에 따라 Execution: Cryptocurrency Mining Hash Match 발견 항목을 엽니다.
발견 항목의 세부정보 패널의 요약 탭이 열립니다.
요약 탭에서 다음 섹션의 정보를 검토합니다.
특히 다음 필드를 포함하는 감지된 항목:
바이너리 계열: 감지된 암호화폐 애플리케이션
프로그램 바이너리: 프로세스의 절대 경로
인수: 프로세스 바이너리를 호출할 때 제공되는 인수
프로세스 이름: 감지된 서명 일치와 연결된 VM 인스턴스에서 실행 중인 프로세스의 이름
VM Threat Detection은 주요 Linux 배포의 커널 빌드를 인식할 수 있습니다. 영향을 받는 VM의 커널 빌드를 인식할 수 있는 경우 애플리케이션의 프로세스 세부정보를 식별하고 발견 항목의 processes 필드를 채울 수 있습니다. VM Threat Detection에서 커널을 인식할 수 없는 경우(예: 커널이 커스텀 빌드된 경우) 발견 항목의 processes 필드가 채워지지 않습니다.
특히 다음 필드를 포함하는 영향을 받는 리소스:
리소스 전체 이름: 영향을 받은 VM 인스턴스의 전체 리소스 이름(해당 인스턴스가 포함된 프로젝트의 ID 등)
이 발견 항목의 전체 JSON을 보려면 발견 항목의 세부정보 보기에서 JSON 탭을 클릭합니다.
다음의 응답 계획이 이 발견 항목에 적합할 수 있지만 작업에도 영향을 줄 수 있습니다.
조사에서 수집한 정보를 신중하게 평가하여 발견 항목을 해결할 최선의 방법을 결정해야 합니다.
감지 및 삭제를 지원하려면 엔드포인트 감지 및 응답 솔루션을 이용하세요.
VM 소유자에게 문의하세요.
애플리케이션이 채굴 애플리케이션인지 확인합니다.
감지된 애플리케이션의 프로세스 이름 및 바이너리 경로를 사용할 수 있으면 발견 항목 세부정보의 요약 탭에서 프로그램 바이너리, 인수, 프로세스 이름 행에 있는 값을 조사에 고려하세요.
프로세스 세부정보를 확인할 수 없다면 메모리 해시 서명의 바이너리 이름이 단서를 제공할 수 있는지 확인합니다. linux-x86-64_xmrig_2.14.1이라는 바이너리를 살펴보겠습니다. grep 명령어를 사용하면 스토리지에서 주목할 만한 파일을 검색할 수 있습니다. 검색 패턴에서 바이너리 이름의 의미 있는 부분을 사용합니다. 이 경우에는 xmrig입니다. 검색결과를 검토합니다.
실행 중인 프로세스, 특히 CPU 사용량이 많은 프로세스를 검사하여 알 수 없는 프로세스가 있는지 확인합니다. 연결된 애플리케이션이 마이너 애플리케이션인지 확인합니다.
스토리지의 파일에서 마이닝 애플리케이션이 사용하는 일반적인 문자열(예: btc.com, ethminer, xmrig, cpuminer, randomx)을 검색합니다.
검색할 수 있는 문자열의 추가 예시는 소프트웨어 이름 및 YARA 규칙과 나열된 각 소프트웨어에 대한 관련 문서를 참조하세요.
애플리케이션이 마이너 애플리케이션이며 프로세스가 계속 실행 중이면 프로세스를 종료합니다. VM 스토리지에서 애플리케이션의 실행 가능한 바이너리를 찾고 삭제합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-09(UTC)"],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nVM Threat Detection detected cryptocurrency mining activities by matching memory\nhashes of running programs against memory hashes of known cryptocurrency mining\nsoftware.\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nStep 1: Review finding details\n\n1. Open an `Execution: Cryptocurrency Mining Hash Match` finding, as directed\n in [Review findings](/security-command-center/docs/how-to-use-vm-threat-detection#findings-vmtd).\n The details panel for the finding opens to the **Summary** tab.\n\n2. On the **Summary** tab, review the information in the following sections:\n\n - **What was detected**, especially the following fields:\n\n - **Binary family**: the cryptocurrency application that was detected.\n - **Program binary**: the absolute path of the process.\n - **Arguments**: the arguments provided when invoking the process binary.\n - **Process names**: the name of the process running in the VM instance that is associated with the detected signature matches.\n\n VM Threat Detection can recognize kernel builds from major Linux\n distributions. If it can recognize the affected VM's kernel build,\n it can identify the application's process details and populate\n the `processes` field of the finding. If VM Threat Detection can't\n regognize the kernel---for example, if the kernel is custom\n built---the finding's `processes` field isn't populated.\n - **Affected resource**, especially the following fields:\n\n - **Resource full name**: the full resource name of the affected VM instance, including the ID of the project that contains it.\n3. To see the complete JSON for this finding, in the detail view of\n the finding, click the **JSON** tab.\n\n - `indicator`\n - `signatures`:\n - `memory_hash_signature`: a signature corresponding to memory page hashes.\n - `detections`\n - `binary`: the name of the cryptocurrency application's binary---for example, `linux--x86-64_ethminer_0.19.0_alpha.0_cuda10.0`.\n - `percent_pages_matched`: the percentage of pages in memory that match pages in known cryptocurrency applications in the page-hash database.\n\nStep 2: Check logs\n\n1. In the Google Cloud console, go to **Logs Explorer**.\n\n \u003cbr /\u003e\n\n [Go to Logs Explorer](https://console.cloud.google.com/logs/query)\n\n \u003cbr /\u003e\n\n2. On the Google Cloud console toolbar, select the project that contains\n the VM instance, as specified on the **Resource full name** row in\n the **Summary** tab of the finding details.\n\n3. Check the logs for signs of intrusion on the affected VM instance. For\n example, check for suspicious or unknown activities and signs of\n [compromised credentials](/security/compromised-credentials).\n\nStep 3: Review permissions and settings\n\n1. On the **Summary** tab of the finding details, in the **Resource full\n name** field, click the link.\n2. Review the details of the VM instance, including the network and access settings.\n\nStep 4: Research attack and response methods\n\n1. Review MITRE ATT\\&CK framework entries for [Execution](https://attack.mitre.org/tactics/TA0002/).\n2. To develop a response plan, combine your investigation results with MITRE research.\n\nStep 5: Implement your response\n\n\nThe following response plan might be appropriate for this finding, but might also impact operations.\nCarefully evaluate the information you gather in your investigation to determine the best way to\nresolve findings.\n\nTo assist with detection and removal, use an endpoint detection and\nresponse solution.\n\n1. Contact the owner of the VM.\n2. Confirm whether the application is a mining application:\n\n - If the detected application's process name and binary path are available,\n consider the values on the **Program binary** , **Arguments** , and\n **Process names** rows on the **Summary** tab of the finding details\n in your investigation.\n\n - If the process details aren't available, check if the binary name from the\n memory hash signature can provide clues. Consider a binary called\n `linux-x86-64_xmrig_2.14.1`. You can use the\n [`grep`](https://www.gnu.org/software/grep/manual/grep.html)\n command to search for notable files in storage. Use a meaningful portion of\n the binary name in your search pattern, in this case, `xmrig`. Examine the\n search results.\n\n - Examine the running processes, especially the processes with high CPU usage,\n to see if there are any that you don't recognize. Determine whether the\n associated applications are miner applications.\n\n - Search the files in storage for common strings that mining applications\n use, such as `btc.com`, `ethminer`, `xmrig`, `cpuminer`, and `randomx`.\n For more examples of strings you can search for, see\n [Software names and YARA rules](/security-command-center/docs/how-to-use-vm-threat-detection#software-names-yara-rules)\n and the related documentation for each software listed.\n\n3. If you determine that the application is a miner application, and its process\n is still running, terminate the process. Locate the application's executable\n binary in the VM's storage, and delete it.\n\n4. If necessary, [stop the compromised instance](/compute/docs/instances/stop-start-instance)\n and replace it with a new instance.\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
