Esta página descreve como ver e gerenciar as descobertas da detecção de ameaças da VM. Ela também mostra como ativar ou desativar o serviço e os módulos dele.
Visão geral
A Detecção de ameaças a máquinas virtuais é um serviço integrado do Security Command Center disponível nos níveis Enterprise e Premium. Esse serviço verifica instâncias do Compute Engine para detectar aplicativos potencialmente maliciosos, como softwares de mineração de criptomoedas, rootkits no modo kernel e malwares em execução em ambientes de nuvem comprometidos.
A VM Threat Detection faz parte do pacote de detecção de ameaças do Security Command Center e foi projetada para complementar os recursos atuais do Event Threat Detection e do Container Threat Detection.
Para mais informações, consulte Visão geral da detecção de ameaças da VM.
Custos
Depois de se inscrever no Security Command Center Premium, não haverá custos extras para usar a VM Threat Detection.
Antes de começar
Para usar esse recurso, você precisa se inscrever no Security Command Center Premium.
Além disso, você precisa de papéis adequados de gerenciamento de identidade e acesso (IAM) para visualizar ou editar descobertas e modificar recursos do Google Cloud. Se você encontrar erros de acesso no Security Command Center, peça ajuda ao administrador. Para saber mais sobre papéis, consulte Controle de acesso.
Testar a VM Threat Detection
Para testar a detecção de mineração de criptomoedas da VM Threat Detection, execute um aplicativo de mineração de criptomoedas na VM. Para conferir uma lista de nomes binários e regras YARA que acionam descobertas, consulte Nomes de software e regras YARA. Se você instalar e testar aplicativos de mineração, é recomendável que eles sejam executados apenas em um ambiente de teste isolado, monitore de perto o uso deles e os remova completamente após o teste.
Para testar a detecção de malware da VM Threat Detection, faça o download de aplicativos de malware na VM. Se você fizer o download de malware, recomendamos que o faça em um ambiente de teste isolado e remova-o completamente após o teste.
Analisar descobertas no console do Google Cloud
Para analisar descobertas da detecção de ameaças à VM no console do Google Cloud, faça o seguinte:
- No console do Google Cloud, acesse a página Descobertas do Security Command Center.
- Selecione a organização ou o projeto do Google Cloud.
- Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione Detecção de ameaças a máquinas virtuais. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
- Para conferir os detalhes de uma descoberta específica, clique no nome dela na coluna Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
- Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponível, as etapas que podem ser realizadas para corrigir a descoberta.
- Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.
Para mais detalhes sobre como responder a cada descoberta da detecção de ameaças à VM, consulte Resposta da detecção de ameaças à VM.
Para uma lista de descobertas da VM Threat Detection, consulte Descobertas.
Gravidade
As descobertas da VM Threat Detection são atribuídas com gravidade Alta, Média e Baixa com base na confiança da classificação de ameaças.
Detecções combinadas
As detecções combinadas ocorrem quando várias categorias de descobertas são detectadas em um dia. As descobertas podem ser causadas por um ou mais aplicativos maliciosos.
Por exemplo, um único aplicativo pode acionar as descobertas de Execution: Cryptocurrency Mining YARA Rule
e Execution: Cryptocurrency
Mining Hash Match
simultaneamente. No entanto, todas as ameaças detectadas em uma única fonte na mesma hora são incluídas em uma descoberta de detecção combinada. Nos
dias seguintes, se mais ameaças forem encontradas, mesmo as mesmas, elas serão
anexadas a novas descobertas.
Para um exemplo de descoberta de detecção combinada, consulte Exemplos de formatos de descoberta.
Exemplos de formatos de descoberta
Estes exemplos de saída JSON contêm campos comuns para as descobertas da detecção de ameaças da VM. Cada exemplo mostra apenas os campos relevantes para o tipo de descoberta. Ele não fornece uma lista completa de campos.
É possível exportar descobertas pelo console do Security Command Center ou listar descobertas usando a API Security Command Center.
Para ver exemplos de descobertas, expanda um ou mais dos seguintes nós. Para
informações sobre cada campo na descoberta, consulte
Finding
.
Defense Evasion: Rootkit
Este exemplo de saída mostra a descoberta de um rootkit conhecido no modo kernel: Diamorphine.
{ "findings": { "access": {}, "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID", "category": "Defense Evasion: Rootkit", "createTime": "2023-01-12T00:39:33.007Z", "database": {}, "eventTime": "2023-01-11T21:24:05.326Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": {}, "kernelRootkit": { "name": "Diamorphine", "unexpected_kernel_code_pages": true, "unexpected_system_call_handler": true }, "kubernetes": {}, "mitreAttack": { "version": "9" }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "processes": [], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "HIGH", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "project_display_name": "PROJECT_ID", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Defense Evasion: Unexpected ftrace handler
(Pré-lançamento)
{ "findings": { "access": {}, "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID", "category": "Defense Evasion: Unexpected ftrace handler", "createTime": "2023-01-12T00:39:33.007Z", "database": {}, "eventTime": "2023-01-11T21:24:05.326Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": {}, "kernelRootkit": {}, "kubernetes": {}, "mitreAttack": { "version": "9" }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "processes": [], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "MEDIUM", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "project_display_name": "PROJECT_ID", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Defense Evasion: Unexpected interrupt handler
(Pré-lançamento)
{ "findings": { "access": {}, "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID", "category": "Defense Evasion: Unexpected interrupt handler", "createTime": "2023-01-12T00:39:33.007Z", "database": {}, "eventTime": "2023-01-11T21:24:05.326Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": {}, "kernelRootkit": {}, "kubernetes": {}, "mitreAttack": { "version": "9" }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "processes": [], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "MEDIUM", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "project_display_name": "PROJECT_ID", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Defense Evasion: Unexpected kernel code modification
(Pré-lançamento)
{ "findings": { "access": {}, "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID", "category": "Defense Evasion: Unexpected kernel code modification", "createTime": "2023-01-12T00:39:33.007Z", "database": {}, "eventTime": "2023-01-11T21:24:05.326Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": {}, "kernelRootkit": {}, "kubernetes": {}, "mitreAttack": { "version": "9" }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "processes": [], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "MEDIUM", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "project_display_name": "PROJECT_ID", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Defense Evasion: Unexpected kernel modules
(Pré-lançamento)
{ "findings": { "access": {}, "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID", "category": "Defense Evasion: Unexpected kernel modules", "createTime": "2023-01-12T00:39:33.007Z", "database": {}, "eventTime": "2023-01-11T21:24:05.326Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": {}, "kernelRootkit": {}, "kubernetes": {}, "mitreAttack": { "version": "9" }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "processes": [], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "MEDIUM", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "project_display_name": "PROJECT_ID", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Defense Evasion: Unexpected kernel read-only data modification
(Pré-lançamento)
{ "findings": { "access": {}, "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID", "category": "Defense Evasion: Unexpected kernel read-only data modification", "createTime": "2023-01-12T00:39:33.007Z", "database": {}, "eventTime": "2023-01-11T21:24:05.326Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": {}, "kernelRootkit": {}, "kubernetes": {}, "mitreAttack": { "version": "9" }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "processes": [], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "MEDIUM", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "project_display_name": "PROJECT_ID", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Defense Evasion: Unexpected kprobe handler
(Pré-lançamento)
{ "findings": { "access": {}, "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID", "category": "Defense Evasion: Unexpected kprobe handler", "createTime": "2023-01-12T00:39:33.007Z", "database": {}, "eventTime": "2023-01-11T21:24:05.326Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": {}, "kernelRootkit": {}, "kubernetes": {}, "mitreAttack": { "version": "9" }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "processes": [], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "MEDIUM", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "project_display_name": "PROJECT_ID", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Defense Evasion: Unexpected processes in runqueue
(Pré-lançamento)
{ "findings": { "access": {}, "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID", "category": "Defense Evasion: Unexpected processes in runqueue", "createTime": "2023-01-12T00:39:33.007Z", "database": {}, "eventTime": "2023-01-11T21:24:05.326Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": {}, "kernelRootkit": {}, "kubernetes": {}, "mitreAttack": { "version": "9" }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "processes": [], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "MEDIUM", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "project_display_name": "PROJECT_ID", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Defense Evasion: Unexpected system call handler
(Pré-lançamento)
{ "findings": { "access": {}, "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/findings/FINDING_ID", "category": "Defense Evasion: Unexpected system call handler", "createTime": "2023-01-12T00:39:33.007Z", "database": {}, "eventTime": "2023-01-11T21:24:05.326Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": {}, "kernelRootkit": {}, "kubernetes": {}, "mitreAttack": { "version": "9" }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "processes": [], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "MEDIUM", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "project_display_name": "PROJECT_ID", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Execution: Cryptocurrency Mining Combined
Detection
Este exemplo de saída mostra uma ameaça que foi detectada pelos
módulos CRYPTOMINING_HASH
e CRYPTOMINING_YARA
.
{ "findings": { "access": {}, "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_ID/sources/SOURCE_ID/findings/FINDING_ID", "category": "Execution: Cryptocurrency Mining Combined Detection", "createTime": "2023-01-05T01:40:48.994Z", "database": {}, "eventTime": "2023-01-05T01:39:36.876Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": { "signatures": [ { "yaraRuleSignature": { "yaraRule": "YARA_RULE1" } }, { "yaraRuleSignature": { "yaraRule": "YARA_RULE9" } }, { "yaraRuleSignature": { "yaraRule": "YARA_RULE10" } }, { "yaraRuleSignature": { "yaraRule": "YARA_RULE25" } }, { "memoryHashSignature": { "binaryFamily": "XMRig", "detections": [ { "binary": "linux-x86-64_xmrig_6.12.2", "percentPagesMatched": 1 } ] } } ] }, "kernelRootkit": {}, "kubernetes": {}, "mitreAttack": { "version": "9" }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "processes": [ { "binary": { "path": "BINARY_PATH" }, "script": {}, "args": [ "./miner", "" ], "pid": "123", "parentPid": "456", "name": "miner" } ], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "HIGH", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "project_display_name": "DISPLAY_NAME", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Execution: Cryptocurrency Mining Hash Match
Detection
{ "findings": { "access": {}, "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_ID/sources/SOURCE_ID/findings/FINDING_ID", "category": "Execution: Cryptocurrency Mining Hash Match", "createTime": "2023-01-05T01:40:48.994Z", "database": {}, "eventTime": "2023-01-05T01:39:36.876Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": { "signatures": [ { "memoryHashSignature": { "binaryFamily": "XMRig", "detections": [ { "binary": "linux-x86-64_xmrig_6.12.2", "percentPagesMatched": 1 } ] } } ] }, "kernelRootkit": {}, "kubernetes": {}, "mitreAttack": { "version": "9" }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "processes": [ { "binary": { "path": "BINARY_PATH" }, "script": {}, "args": [ "./miner", "" ], "pid": "123", "parentPid": "456", "name": "miner" } ], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "HIGH", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "project_display_name": "DISPLAY_NAME", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Execution: Cryptocurrency Mining YARA Rule
{ "findings": { "access": {}, "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_ID/sources/SOURCE_ID/findings/FINDING_ID", "category": "Execution: Cryptocurrency Mining YARA Rule", "createTime": "2023-01-05T00:37:38.450Z", "database": {}, "eventTime": "2023-01-05T01:12:48.828Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": { "signatures": [ { "yaraRuleSignature": { "yaraRule": "YARA_RULE9" } }, { "yaraRuleSignature": { "yaraRule": "YARA_RULE10" } }, { "yaraRuleSignature": { "yaraRule": "YARA_RULE25" } } ] }, "kernelRootkit": {}, "kubernetes": {}, "mitreAttack": { "version": "9" }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "processes": [ { "binary": { "path": "BINARY_PATH" }, "script": {}, "args": [ "./miner", "" ], "pid": "123", "parentPid": "456", "name": "miner" } ], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "HIGH", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "project_display_name": "DISPLAY_NAME", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Malware: Malicious file on disk (YARA)
{ "findings": { "assetDisplayName": "DISPLAY_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_ID/sources/SOURCE_ID/findings/FINDING_ID", "category": "Malware: Malicious file on disk (YARA)", "createTime": "2023-01-05T00:37:38.450Z", "eventTime": "2023-01-05T01:12:48.828Z", "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/vmtd", "indicator": { "signatures": [ { "yaraRuleSignature": { "yaraRule": "M_Backdoor_REDSONJA_4" }, "signatureType": "SIGNATURE_TYPE_FILE", }, { "yaraRuleSignature": { "yaraRule": "M_Backdoor_REDSONJA_3" }, "signatureType": "SIGNATURE_TYPE_FILE", } ] }, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID", "parentDisplayName": "Virtual Machine Threat Detection", "files": [ { "diskPath": { "partition_uuid": "b411dc99-f0a0-4c87-9e05-184977be8539", "relative_path": "RELATIVE_PATH" }, "size": "21238", "sha256": "65d860160bdc9b98abf72407e14ca40b609417de7939897d3b58d55787aaef69", "hashedSize": "21238" } ], "resourceName": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "severity": "HIGH", "sourceDisplayName": "Virtual Machine Threat Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_ID", "display_name": "DISPLAY_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "project_display_name": "DISPLAY_NAME", "parent_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "parent_display_name": "DISPLAY_NAME", "type": "google.compute.Instance", "folders": [] }, "sourceProperties": {} }
Alterar o estado das descobertas
Quando você resolve ameaças identificadas pela VM Threat Detection, o serviço não define automaticamente o estado de uma descoberta como Inativo nas verificações subsequentes. Devido à natureza do nosso domínio de ameaça, a VM Threat Detection não pode determinar se uma ameaça é reduzida ou se foi alterada para evitar a detecção.
Quando suas equipes de segurança estiverem satisfeitas com a possibilidade de mitigar uma ameaça, poderão executar as seguintes etapas para alterar o estado das descobertas para "inativa".
Acesse a página Descobertas do Security Command Center no console do Google Cloud.
Ao lado de Visualizar por, clique em Tipo de fonte.
Na lista Source type, selecione Detecção de ameaças a máquinas virtuais. Uma tabela será preenchida com as descobertas para o tipo de origem selecionado.
Marque a caixa de seleção ao lado das descobertas resolvidas.
Clique em Alterar o estado ativo.
Clique em Inativa.
Ativar ou desativar a detecção de ameaças da VM
O VM Threat Detection é ativado por padrão para todos os clientes que se inscrevem no Security Command Center Premium após 15 de julho de 2022, quando esse serviço foi disponibilizado para todos os usuários. Se necessário, desative ou reative-a manualmente no projeto ou na organização.
Quando você ativa a VM Threat Detection em uma organização ou projeto, o serviço verifica automaticamente todos os recursos compatíveis nessa organização ou projeto. Por outro lado, quando você desativa a detecção de ameaças da VM em uma organização ou projeto, o serviço para de verificar todos os recursos compatíveis.
Para ativar ou desativar a detecção de ameaças da VM, faça o seguinte:
Console
No console do Google Cloud, acesse a página Ativação do serviço de detecção de ameaças de máquina virtual.
Na coluna Detecção de ameaças a máquinas virtuais, selecione o status atual e escolha uma das seguintes opções:
- Ativar: ative a Detecção de ameaças da VM.
- Desativar: desativa a VM Threat Detection.
- Herdar: herda o status de ativação da pasta pai ou da organização. Disponível apenas para projetos e pastas.
gcloud
O comando
gcloud scc manage services update
atualiza o estado de um serviço ou módulo do Security Command Center.
Antes de usar os dados do comando abaixo, faça estas substituições:
-
RESOURCE_TYPE
: o tipo de recurso a ser atualizado (organization
,folder
ouproject
) -
RESOURCE_ID
: o identificador numérico da organização, pasta ou projeto a ser atualizado. Para projetos, também é possível usar o ID alfanumérico do projeto. -
NEW_STATE
:ENABLED
para ativar a detecção de ameaças da VM,DISABLED
para desativar a detecção de ameaças da VM ouINHERITED
para herdar o estado de ativação do recurso pai (válido apenas para projetos e pastas)
Execute o
comando gcloud scc manage services update
:
Linux, macOS ou Cloud Shell
gcloud scc manage services update vm-threat-detection \ --RESOURCE_TYPE=RESOURCE_ID \ --enablement-state=NEW_STATE
Windows (PowerShell)
gcloud scc manage services update vm-threat-detection ` --RESOURCE_TYPE=RESOURCE_ID ` --enablement-state=NEW_STATE
Windows (cmd.exe)
gcloud scc manage services update vm-threat-detection ^ --RESOURCE_TYPE=RESOURCE_ID ^ --enablement-state=NEW_STATE
Você receberá uma resposta semelhante a esta:
effectiveEnablementState: ENABLED modules: CRYPTOMINING_HASH: effectiveEnablementState: ENABLED intendedEnablementState: ENABLED CRYPTOMINING_YARA: effectiveEnablementState: ENABLED KERNEL_INTEGRITY_TAMPERING: effectiveEnablementState: ENABLED KERNEL_MEMORY_TAMPERING: effectiveEnablementState: ENABLED MALWARE_DISK_SCAN_YARA: effectiveEnablementState: ENABLED name: projects/1234567890123/locations/global/securityCenterServices/vm-threat-detection updateTime: '2024-08-05T22:32:01.536452397Z'
REST
O método
RESOURCE_TYPE.locations.securityCenterServices.patch
da API Security Command Center Management atualiza o estado de um serviço ou módulo do Security Command Center.
Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
-
RESOURCE_TYPE
: o tipo de recurso a ser atualizado (organizations
,folders
ouprojects
) -
QUOTA_PROJECT
: o ID do projeto a ser usado para faturamento e acompanhamento de cotas -
RESOURCE_ID
: o identificador numérico da organização, pasta ou projeto a ser atualizado. Para projetos, também é possível usar o ID alfanumérico do projeto. -
NEW_STATE
:ENABLED
para ativar a detecção de ameaças da VM,DISABLED
para desativar a detecção de ameaças da VM ouINHERITED
para herdar o estado de ativação do recurso pai (válido apenas para projetos e pastas).
Método HTTP e URL:
PATCH https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/securityCenterServices/vm-threat-detection?updateMask=intendedEnablementState
Corpo JSON da solicitação:
{ "intendedEnablementState": "NEW_STATE" }
Para enviar a solicitação, expanda uma destas opções:
Você receberá uma resposta JSON semelhante a esta:
{ "name": "projects/1234567890123/locations/global/securityCenterServices/vm-threat-detection", "effectiveEnablementState": "ENABLED", "modules": { "CRYPTOMINING_YARA": { "effectiveEnablementState": "ENABLED" }, "KERNEL_MEMORY_TAMPERING": { "effectiveEnablementState": "ENABLED" }, "KERNEL_INTEGRITY_TAMPERING": { "effectiveEnablementState": "ENABLED" }, "CRYPTOMINING_HASH": { "intendedEnablementState": "ENABLED", "effectiveEnablementState": "ENABLED" }, "MALWARE_DISK_SCAN_YARA": { "effectiveEnablementState": "ENABLED" } }, "updateTime": "2024-08-05T22:32:01.536452397Z" }
Ativar ou desativar um módulo de detecção de ameaças da VM
Para ativar ou desativar um detector de detecção de ameaças da VM individual, também conhecido como módulo, faça o seguinte. As alterações podem levar até uma hora para entrar em vigor.
Para mais informações sobre todas as descobertas de ameaças da detecção de ameaças da VM e os módulos que as geram, consulte Descobertas de ameaças.
Console
No Console do Google Cloud, você pode ativar ou desativar os módulos de detecção de ameaças da VM no nível da organização. Para ativar ou desativar módulos de Detecção de ameaças de VM no nível da pasta ou do projeto, use a CLI gcloud ou a API REST.
No console do Google Cloud, acesse a página Módulos de detecção de ameaças de máquina virtual.
Na coluna Status, selecione o status atual do módulo que você quer ativar ou desativar e escolha uma das seguintes opções:
- Ativar: ative o módulo.
- Desativar: desativa o módulo.
gcloud
O comando
gcloud scc manage services update
atualiza o estado de um serviço ou módulo do Security Command Center.
Antes de usar os dados do comando abaixo, faça estas substituições:
-
RESOURCE_TYPE
: o tipo de recurso a ser atualizado (organization
,folder
ouproject
) -
RESOURCE_ID
: o identificador numérico da organização, pasta ou projeto a ser atualizado. Para projetos, também é possível usar o ID alfanumérico do projeto. -
MODULE_NAME
: o nome do módulo a ser ativado ou desativado. Para valores válidos, consulte Encontrados de ameaças. -
NEW_STATE
:ENABLED
para ativar o módulo,DISABLED
para desativar o módulo ouINHERITED
para herdar o status de ativação do recurso pai (válido apenas para projetos e pastas)
Salve o conteúdo a seguir em um arquivo chamado request.json
:
{ "MODULE_NAME": { "intendedEnablementState": "NEW_STATE" } }
Execute o
comando gcloud scc manage services update
:
Linux, macOS ou Cloud Shell
gcloud scc manage services update vm-threat-detection \ --RESOURCE_TYPE=RESOURCE_ID \ --enablement-state=ENABLED \ --module-config-file=request.json
Windows (PowerShell)
gcloud scc manage services update vm-threat-detection ` --RESOURCE_TYPE=RESOURCE_ID ` --enablement-state=ENABLED \ --module-config-file=request.json
Windows (cmd.exe)
gcloud scc manage services update vm-threat-detection ^ --RESOURCE_TYPE=RESOURCE_ID ^ --enablement-state=ENABLED \ --module-config-file=request.json
Você receberá uma resposta semelhante a esta:
effectiveEnablementState: ENABLED modules: CRYPTOMINING_HASH: effectiveEnablementState: ENABLED intendedEnablementState: ENABLED CRYPTOMINING_YARA: effectiveEnablementState: ENABLED KERNEL_INTEGRITY_TAMPERING: effectiveEnablementState: ENABLED KERNEL_MEMORY_TAMPERING: effectiveEnablementState: ENABLED MALWARE_DISK_SCAN_YARA: effectiveEnablementState: ENABLED name: projects/1234567890123/locations/global/securityCenterServices/vm-threat-detection updateTime: '2024-08-05T22:32:01.536452397Z'
REST
O método
RESOURCE_TYPE.locations.securityCenterServices.patch
da API Security Command Center Management atualiza o estado de um serviço ou módulo do Security Command Center.
Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
-
RESOURCE_TYPE
: o tipo de recurso a ser atualizado (organizations
,folders
ouprojects
) -
QUOTA_PROJECT
: o ID do projeto a ser usado para faturamento e acompanhamento de cotas -
RESOURCE_ID
: o identificador numérico da organização, pasta ou projeto a ser atualizado. Para projetos, também é possível usar o ID alfanumérico do projeto. -
MODULE_NAME
: o nome do módulo a ser ativado ou desativado. Para valores válidos, consulte Encontrados de ameaças. -
NEW_STATE
:ENABLED
para ativar o módulo,DISABLED
para desativar o módulo ouINHERITED
para herdar o status de ativação do recurso pai (válido apenas para projetos e pastas)
Método HTTP e URL:
PATCH https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/securityCenterServices/vm-threat-detection?updateMask=modules
Corpo JSON da solicitação:
{ "modules": { "MODULE_NAME": { "intendedEnablementState": "NEW_STATE" } } }
Para enviar a solicitação, expanda uma destas opções:
Você receberá uma resposta JSON semelhante a esta:
{ "name": "projects/1234567890123/locations/global/securityCenterServices/vm-threat-detection", "effectiveEnablementState": "ENABLED", "modules": { "CRYPTOMINING_YARA": { "effectiveEnablementState": "ENABLED" }, "KERNEL_MEMORY_TAMPERING": { "effectiveEnablementState": "ENABLED" }, "KERNEL_INTEGRITY_TAMPERING": { "effectiveEnablementState": "ENABLED" }, "CRYPTOMINING_HASH": { "intendedEnablementState": "ENABLED", "effectiveEnablementState": "ENABLED" }, "MALWARE_DISK_SCAN_YARA": { "effectiveEnablementState": "ENABLED" } }, "updateTime": "2024-08-05T22:32:01.536452397Z" }
Ver as configurações dos módulos do VM Threat Detection
Para mais informações sobre todas as descobertas de ameaças da detecção de ameaças da VM e os módulos que as geram, consulte a tabela Descobertas de ameaças.
Console
No Console do Google Cloud, você pode conferir as configurações dos módulos da VM Threat Detection no nível da organização. Para conferir as configurações dos módulos de detecção de ameaças de VM no nível da pasta ou do projeto, use a CLI gcloud ou a API REST.
Para conferir as configurações no console do Google Cloud, acesse a página Módulos de detecção de ameaças de máquina virtual.
gcloud
O comando
gcloud scc manage services update
recebe o estado de um serviço ou módulo do Security Command Center.
Antes de usar os dados do comando abaixo, faça estas substituições:
-
RESOURCE_TYPE
: o tipo de recurso a ser recebido (organizations
,folders
ouprojects
). -
QUOTA_PROJECT
: o ID do projeto a ser usado para faturamento e acompanhamento de cotas -
RESOURCE_ID
: o identificador numérico da organização, pasta ou projeto a ser recebido. Para projetos, também é possível usar o ID alfanumérico do projeto.
Salve o conteúdo a seguir em um arquivo chamado request.json
:
{ "MODULE_NAME": { "intendedEnablementState": "NEW_STATE" } }
Execute o
comando gcloud scc manage services update
:
Linux, macOS ou Cloud Shell
gcloud scc manage services update vm-threat-detection \ --RESOURCE_TYPE=RESOURCE_ID
Windows (PowerShell)
gcloud scc manage services update vm-threat-detection ` --RESOURCE_TYPE=RESOURCE_ID
Windows (cmd.exe)
gcloud scc manage services update vm-threat-detection ^ --RESOURCE_TYPE=RESOURCE_ID
Você receberá uma resposta semelhante a esta:
effectiveEnablementState: ENABLED modules: CRYPTOMINING_HASH: effectiveEnablementState: ENABLED intendedEnablementState: ENABLED CRYPTOMINING_YARA: effectiveEnablementState: ENABLED KERNEL_INTEGRITY_TAMPERING: effectiveEnablementState: ENABLED KERNEL_MEMORY_TAMPERING: effectiveEnablementState: ENABLED MALWARE_DISK_SCAN_YARA: effectiveEnablementState: ENABLED name: projects/1234567890123/locations/global/securityCenterServices/vm-threat-detection updateTime: '2024-08-05T22:32:01.536452397Z'
REST
O método RESOURCE_TYPE.locations.securityCenterServices.get
da API Security Command Center Management recebe o estado de um serviço ou módulo do Security Command Center.
Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
-
RESOURCE_TYPE
: o tipo de recurso a ser recebido (organizations
,folders
ouprojects
). -
QUOTA_PROJECT
: o ID do projeto a ser usado para faturamento e acompanhamento de cotas -
RESOURCE_ID
: o identificador numérico da organização, pasta ou projeto a ser recebido. Para projetos, também é possível usar o ID alfanumérico do projeto.
Método HTTP e URL:
GET https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/securityCenterServices/vm-threat-detection
Para enviar a solicitação, expanda uma destas opções:
Você receberá uma resposta JSON semelhante a esta:
{ "name": "projects/1234567890123/locations/global/securityCenterServices/vm-threat-detection", "effectiveEnablementState": "ENABLED", "modules": { "CRYPTOMINING_YARA": { "effectiveEnablementState": "ENABLED" }, "KERNEL_MEMORY_TAMPERING": { "effectiveEnablementState": "ENABLED" }, "KERNEL_INTEGRITY_TAMPERING": { "effectiveEnablementState": "ENABLED" }, "CRYPTOMINING_HASH": { "intendedEnablementState": "ENABLED", "effectiveEnablementState": "ENABLED" }, "MALWARE_DISK_SCAN_YARA": { "effectiveEnablementState": "ENABLED" } }, "updateTime": "2024-08-05T22:32:01.536452397Z" }
Nomes de software e regras YARA para a detecção de mineração de criptomoedas
As listas a seguir incluem os nomes de binários e regras da YARA que acionam descobertas de mineração de criptomoedas. Para ver as listas, expanda os nós.
Execution: Cryptocurrency Mining Hash Match
- Arionum CPU miner: software de mineração para criptomoedas Arionum
- Avermore: software de mineração para criptomoedas baseadas em scrypt
- Beam CUDA miner: software de mineração para criptomoedas baseadas em Equihash
- Beam OpenCL miner: software de mineração para criptomoedas baseadas em Equihash
- BFGMiner: software de mineração baseado em ASIC/FPGA para o Bitcoin
- BMiner: software de mineração para várias criptomoedas
- Cast XMR: software de mineração para criptomoedas baseadas em CryptoNight
- ccminer (link em inglês): software de mineração baseado em CUDA
- cgminer: software de mineração baseado em ASIC/FPGA para o Bitcoin
- Claymore's miner: software de mineração baseado em GPU para várias criptomoedas
- CPUMiner: família de software de mineração baseado em CPU
- CryptoDredge: família de software de mineração para CryptoDredge
- CryptoGoblin (em inglês): software de mineração para criptomoedas baseadas em CryptoNight
- DamoMiner: software de mineração baseado em GPU para Ethereum e outras criptomoedas
- DigitsMiner: software de mineração para Digits
- EasyMiner: software de mineração para Bitcoin e outras criptomoedas
- Ethminer: software de mineração para Ethereum e outras criptomoedas
- EWBF: software de mineração para criptomoedas baseadas em Equihash
- FinMiner: software de mineração para criptomoedas baseadas em Ethash e CryptoNight
- Funakoshi Miner: software de mineração para criptomoedas Bitcoin-Gold
- Geth: software de mineração para Ethereum
- GMiner: software de mineração para várias criptomoedas
- gominer: software de mineração para Decred
- GrinGoldMiner: software de mineração para Grin
- Hush: software de mineração para criptomoedas baseadas em Zcash
- IxiMiner: software de mineração para Ixian
- kawpowminer: software de mineração para Ravencoin
- Komodo: família de software de mineração para Komodo
- lolMiner: software de mineração para várias criptomoedas
- lukMiner: software de mineração para várias criptomoedas
- MinerGate: software de mineração para várias criptomoedas
- miniZ: software de mineração para criptomoedas baseadas em Equihash
- Mirai: malware que pode ser usado para minerar criptomoedas
- MultiMiner: software de mineração para várias criptomoedas
- nanominer: software de mineração para várias criptomoedas
- NBMiner: software de mineração para várias criptomoedas
- Nevermore: software de mineração para várias criptomoedas
- nheqminer: software de mineração para NiceHash
- NinjaRig (em inglês): software de mineração para criptomoedas baseadas em Argon2
- NodeCore PoW CUDA Miner: software de mineração para VeriBlock
- NoncerPro: software de mineração para Nimiq
- Optiminer/Equihash: software de mineração para criptomoedas baseadas em Equihash
- PascalCoin: família de software de mineração para PascalCoin
- PhoenixMiner: software de mineração para Ethereum
- Pooler CPU Miner: software de mineração para Litecoin e Bitcoin
- ProgPoW Miner: software de mineração para Ethereum e outras criptomoedas (links em inglês)
- rhminer: software de mineração para PascalCoin
- sgminer: software de mineração para criptomoedas baseadas em scrypt
- simplecoin: família de software de mineração para SimpleCoin baseada em scrypt
- Skypool Nimiq Miner: software de mineração para Nimiq
- SwapReferenceMiner: software de mineração para Grin
- Team Red Miner: software de mineração baseado em AMD para várias criptomoedas
- T-Rex: software de mineração para várias criptomoedas
- TT-Miner: software de mineração para várias criptomoedas
- Ubqminer: software de mineração para criptomoedas baseadas em Ubqhash
- VersusCoin: software de mineração para VersusCoin
- violetminer (link em inglês): software de mineração para criptomoedas baseadas em Argon2
- webchain-miner: software de mineração para MintMe
- WildRig (em inglês): software de mineração para várias criptomoedas
- XCASH_ALL_Miner: software de mineração para XCASH
- xFash: software de mineração para MinerGate
- XLArig: software de mineração para criptomoedas baseadas em CryptoNight
- XMRig: software de mineração para várias criptomoedas
- Xmr-Stak: software de mineração para criptomoedas baseadas em CryptoNight
- XMR-Stak TurtleCoin: software de mineração para criptomoedas baseadas em CryptoNight
- Xtl-Stak: software de mineração para criptomoedas baseadas em CryptoNight
- Yam Miner: software de mineração para MinerGate
- YCash: software de mineração para YCash
- ZCoin: software de mineração para ZCoin/Fire
- Zealot/Enemy: software de mineração para várias criptomoedas
- Indicador de criptomoedas1
1 Esse nome de ameaça genérica indica que um minerador de criptomoedas desconhecido pode estar operando na VM, mas a Detecção de ameaças de VM não tem informações específicas sobre o minerador.
Execution: Cryptocurrency Mining YARA Rule
- YARA_RULE1: corresponde a software de mineração para Monero.
- YARA_RULE9: corresponde a software de mineração que usa a criptografia Blake2 e AES.
- YARA_RULE10: corresponde a software de mineração que usa a rotina de prova de trabalho da CryptoNight.
- YARA_RULE15: corresponde a software de mineração para NBMiner.
- YARA_RULE17: corresponde a software de mineração que usa a rotina de prova de trabalho do Scrypt.
- YARA_RULE18: corresponde a software de mineração que usa a rotina de prova de trabalho da Scrypt.
- YARA_RULE19: corresponde a software de mineração para BFGMiner.
- YARA_RULE24: corresponde a software de mineração para XMR-Stak.
- YARA_RULE25: corresponde a software de mineração para XMRig.
- DYNAMIC_YARA_RULE_BFGMINER_2: corresponde ao software de mineração para BFGMiner.
A seguir
- Saiba mais sobre a VM Threat Detection.
- Saiba como investigar as descobertas da VM Threat Detection.