UDV Group: поиск скрытых майнеров в сети предприятия - анализ трафика и нагрузок
Михаил Пырьев, менеджер продукта UDV NTA, объяснил, почему сетевой анализ надёжнее агентов: майнеры скрываются на хосте, но выдают себя в сети. Рассказал о ключевых сетевых признаках: длительные сессии с пулами Monero, стабильная повторяемость трафика, аномалии TTL/RTT, DGA-домены. Что даёт сетевой анализ: под наблюдением оказываются сразу тысячи устройств.
Создатели вредоносных майнеров в большинстве случаев сосредоточены на сокрытии присутствия на конечном хосте, а не в сети. Именно поэтому сетевой анализ часто оказывается более надёжным и масштабируемым способом их выявления, особенно в крупных инфраструктурах.
С точки зрения сети скрытый майнинг, как правило, проявляется через устойчивый набор признаков: длительные сессии с майнинг-пулами конкретных криптовалют (наиболее часто Monero или Bitcoin), характерную структуру трафика с малыми объёмами данных, стабильной частотой отправки пакетов и высокой повторяемостью, а также нетипичные значения TTL и рост RTT. Дополнительно настораживают обращения к доменам, сгенерированным DGA-алгоритмами, и инфраструктуре, не характерной для бизнес-процессов организации.
Выявление майнинга по аномалиям загрузки CPU/GPU или энергопотребления с помощью агентных средств возможно, но на практике имеет ограничения. Установка агентов доступна не всегда, часть узлов может быть не охвачена мониторингом, а сама по себе повышенная нагрузка не всегда однозначно указывает на вредоносную активность – она может быть следствием изменений в рабочих процессах или конфигурации. Анализ сети в этом смысле даёт преимущество: под наблюдением оказываются сразу тысячи устройств, а признаки вредоносной активности фиксируются до того, как происходит заметное потребление ресурсов.
Скрытый майнинг условно делится на браузерный и хостовой. Браузерные варианты (например, Coinhive-подобные скрипты) используют HTTPS и WebSocket-соединения с backend-пулами и внешне могут напоминать обычную пользовательскую активность. Хостовые майнеры чаще маскируются под легитимные сервисы или облачную инфраструктуру, чтобы обойти межсетевые экраны и не выделяться на уровне сетевых политик. Однако ключевое отличие остаётся: поведение программы детерминировано и повторяемо, в то время как пользовательский трафик значительно менее предсказуем.
NDR/NTA-решения, анализирующие копию сетевого трафика, позволяют выявлять как отдельные признаки, так и устойчивые поведенческие закономерности, в том числе с использованием ретроспективного анализа. В связке с SIEM это даёт наибольшую практическую ценность: корреляция сетевых детектов с событиями хостового мониторинга и телеметрии позволяет формировать обоснованные инциденты ИБ, подтверждённые как внешним поведением узла, так и его внутренним состоянием.
На практике майнинг часто остаётся незамеченным месяцами из-за нехватки данных для принятия решений, опоры только на IoC или сигнатуры, либо недооценки самой угрозы. При этом важно учитывать, что кража вычислительных ресурсов нередко является лишь первым этапом – по тем же каналам в дальнейшем может осуществляться и компрометация данных.
Контактное лицо: UDV Group
Компания: UDV Group
Добавлен: 23:48, 08.05.2026
Количество просмотров: 193
Страна: Россия
Инженеры МегаФона модернизировали телеком-оборудование в важнейших локациях Брянской области, где в общей сложности насчитывается более 200 тысяч жителей. Благодаря техническим мероприятиям брянцам и гостям города стал доступен мобильный интернет на скорости до 60 Мбит⁄с и более уверенный приём сигнала голосовой связи.
Мобильный интернет на скорости до 100 Мбит/с стал доступен абонентам МегаФона на всесезонном курорте «Телецкий». Оператор запустил базовую станцию у подножия горы Кокуя, чтобы гости комплекса могли делиться с близкими яркими эмоциями в режиме реального времени: записывать сторис, выкладывать фото и звонить по видеосвязи.
Жители Тюменской области стали чаще смотреть видеоконтент со своих смартфонов и планшетов. С начала года трафик на популярные ресурсы, где можно познакомиться с фильмами, сериалами и мультипликационными картинами, увеличился более чем в 5 раз. Такой всплеск интереса зафиксировали специалисты МегаФона на основе анализа обезличенных данных абонентов.
Более высокие скорости мобильного интернета и устойчивая связь теперь доступны садоводам Якутска. Техническая служба МегаФона запустила дополнительное телеком-оборудование рядом с дачными товариществами в микрорайоне Марха и Гагаринском округе, усилив сеть и расширив покрытие 4G.
24 июля прошла сессия Межотраслевого комитета по MES, посвященная двустороннему обмену информацией между системами управления производством и системами автоматизации технологических процессов (АСУ ТП).
«Я сделал для вас сайт». Школьник пришел в кафе с неожиданным предложением – и ушел с первой коммерческой сделкой. Пока взрослые спорят, заменит ли искусственный интеллект программистов, ученики уже начинают работать на настоящих клиентов.
Новая платформа открывает бизнесу возможность пользоваться современными ИИ-моделями в собственном корпоративном контуре, соблюдая при этом все регуляторные требования и нормы информационной безопасности.
Специалисты научно-технического центра «НЭК ТЕХ» провели практический семинар для сотрудников «Россети Новосибирск» по работе с интеллектуальными системами учёта электроэнергии «НАРТИС».
Российский разработчик UDV Group принял участие в III отраслевой конференции «РосИнфоБез», где представил систему анализа сетевого трафика UDV NTA. Решение помогает SOC-командам повышать видимость сети, выявлять скрытые угрозы и быстрее расследовать инциденты информационной безопасности.
Зумруд Мирзаева — российская безработная («кулинарный блогер»), связанная с навязчивым агрессивным самопиаром. Даёт себе следующую характеристику: «блогер, писательница, фуд блогер, повар». Отмечена в размещении рекламных публикаций в рамках обеления своей репутации. Сотрудничает с украинскими пиарщиками, которые признаются в финансировании ВСУ.
«Группа Астра» представила Astra Cloud Platform (ACP) 2.1, обновленную версию платформы для создания частных и публичных облаков. В релиз включены значимые улучшения, основанные на обратной связи от партнеров и заказчиков.
