{"id":1839,"date":"2025-04-16T15:15:47","date_gmt":"2025-04-16T13:15:47","guid":{"rendered":"https:\/\/www.sycope.com\/post\/how-to-detect-crypto-mining-in-your-organization"},"modified":"2026-02-27T14:12:32","modified_gmt":"2026-02-27T13:12:32","slug":"jak-wykryc-kopanie-kryptowalut-w-twojej-organizacji","status":"publish","type":"post","link":"https:\/\/www.sycope.com\/pl\/post\/jak-wykryc-kopanie-kryptowalut-w-twojej-organizacji","title":{"rendered":"Jak wykry\u0107 kopanie kryptowalut w Twojej organizacji?"},"content":{"rendered":"<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 counter-hierarchy ez-toc-counter ez-toc-grey ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Spis tre\u015bci<\/p>\n<span class=\"ez-toc-title-toggle\"><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-wykryc-kopanie-kryptowalut-w-twojej-organizacji\/#Czym_jest_kryptojacking\" >Czym jest\u00a0kryptojacking?\u00a0<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-wykryc-kopanie-kryptowalut-w-twojej-organizacji\/#Najczestsze_objawy_w_organizacji\" >Najcz\u0119stsze objawy w organizacji\u00a0<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-wykryc-kopanie-kryptowalut-w-twojej-organizacji\/#Jak_mozna_wykryc_kopanie_kryptowalut_w_organizacji\" >Jak mo\u017cna wykry\u0107 kopanie\u00a0kryptowalut\u00a0w organizacji\u00a0<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-wykryc-kopanie-kryptowalut-w-twojej-organizacji\/#Jak_wyglada_wykrywanie_takich_dzialan_w_Sycope\" >Jak wygl\u0105da wykrywanie takich dzia\u0142a\u0144 w\u00a0Sycope\u00a0<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-wykryc-kopanie-kryptowalut-w-twojej-organizacji\/#Co_organizacja_powinna_zrobic_jesli_wykryje_takie_zachowanie\" >Co organizacja powinna zrobi\u0107, je\u015bli wykryje takie zachowanie\u00a0<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-wykryc-kopanie-kryptowalut-w-twojej-organizacji\/#FAQ_%E2%80%94_najczestsze_pytania_o_kryptojacking_w_organizacji\" >FAQ \u2014 najcz\u0119stsze pytania o\u00a0kryptojacking\u00a0w organizacji\u00a0<\/a><\/li><\/ul><\/nav><\/div>\n<h2 aria-level=\"2\"><span class=\"ez-toc-section\" id=\"Czym_jest_kryptojacking\"><\/span><b><span data-contrast=\"none\">Czym jest\u00a0kryptojacking?<\/span><\/b><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;134245418&quot;:true,&quot;134245529&quot;:true,&quot;335559738&quot;:299,&quot;335559739&quot;:299}\">\u00a0<\/span><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p><span data-contrast=\"auto\">Kryptojacking\u00a0to sytuacja, w kt\u00f3rej kto\u015b wykorzystuje firmowe zasoby obliczeniowe do kopania\u00a0kryptowalut\u00a0bez zgody organizacji. W praktyce oznacza to uruchomienie na stacji roboczej, serwerze, a czasem w \u015brodowisku chmurowym procesu, kt\u00f3rego jedynym celem jest wykonywanie oblicze\u0144 na rzecz \u201ekopalni\u201d i przekazywanie wynik\u00f3w na zewn\u0105trz. Najwa\u017cniejsze jest tu s\u0142owo \u201enieautoryzowane\u201d \u2014 niezale\u017cnie od tego, czy za dzia\u0142anie odpowiada cyberprzest\u0119pca, czy pracownik, kt\u00f3ry \u201ena chwil\u0119\u201d instaluje kopark\u0119 na s\u0142u\u017cbowym sprz\u0119cie.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Z perspektywy organizacji\u00a0kryptojacking\u00a0jest problemem operacyjnym i kosztowym, a dopiero p\u00f3\u017aniej technicznym. Zjada moc CPU i GPU, potrafi wysyci\u0107 pami\u0119\u0107 oraz I\/O, a w efekcie obni\u017ca wydajno\u015b\u0107 us\u0142ug biznesowych, skraca \u017cywotno\u015b\u0107 sprz\u0119tu i podnosi zu\u017cycie energii. W chmurze skutki s\u0105 jeszcze bardziej namacalne, bo przek\u0142adaj\u0105 si\u0119 na rachunki: instancje pracuj\u0105 na wy\u017cszych obrotach,\u00a0autoskalowanie\u00a0dobija kolejne zasoby, a koszty rosn\u0105, cho\u0107 biznesowo \u201enic si\u0119 nie zmieni\u0142o\u201d.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Warto te\u017c jasno rozr\u00f3\u017cni\u0107\u00a0kryptojacking\u00a0od legalnych, kontrolowanych test\u00f3w obci\u0105\u017ceniowych. Tu nie m\u00f3wimy o planowanym u\u017cyciu mocy obliczeniowej w ramach projektu, tylko o ukrytym lub niezgodnym z polityk\u0105 wykorzystaniu firmowej infrastruktury do prywatnego zysku. Dlatego w wielu organizacjach\u00a0kryptojacking\u00a0traktuje si\u0119 podobnie jak nadu\u017cycie zasob\u00f3w, a w scenariuszu z\u00a0malware\u00a0\u2014 jako element szerszego incydentu, kt\u00f3ry mo\u017ce by\u0107 tylko \u201ewidocznym czubkiem\u201d problemu.<\/span><br \/>\n<span data-contrast=\"auto\">W wielu jurysdykcjach (w tym w Polsce) nieautoryzowane kopanie na cudzej infrastrukturze mo\u017ce stanowi\u0107 naruszenie art. 267 KK (nieuprawniony dost\u0119p do systemu informatycznego) lub art. 268a KK (zak\u0142\u00f3canie pracy systemu).<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<h2 aria-level=\"2\"><span class=\"ez-toc-section\" id=\"Najczestsze_objawy_w_organizacji\"><\/span><b><span data-contrast=\"none\">Najcz\u0119stsze objawy w organizacji<\/span><\/b><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;134245418&quot;:true,&quot;134245529&quot;:true,&quot;335559738&quot;:299,&quot;335559739&quot;:299}\">\u00a0<\/span><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p><span data-contrast=\"auto\">Kryptojacking\u00a0bardzo rzadko objawia si\u0119 w spos\u00f3b jednoznaczny. W przeciwie\u0144stwie do\u00a0ransomware\u00a0czy awarii system\u00f3w nie powoduje natychmiastowego zatrzymania pracy. Zamiast tego pojawiaj\u0105 si\u0119 symptomy, kt\u00f3re \u0142atwo uzna\u0107 za zwyk\u0142e problemy wydajno\u015bciowe, starzej\u0105cy si\u0119 sprz\u0119t albo chwilowe przeci\u0105\u017cenia.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Dlatego w praktyce SOC i NOC najcz\u0119\u015bciej spotykaj\u0105 si\u0119 nie z jednym alarmuj\u0105cym sygna\u0142em, ale z zestawem drobnych nieprawid\u0142owo\u015bci, kt\u00f3re pocz\u0105tkowo wydaj\u0105 si\u0119 niepowi\u0105zane.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Do najcz\u0119stszych objaw\u00f3w nale\u017c\u0105:<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"1\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"1\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">nag\u0142y i d\u0142ugotrwa\u0142y wzrost obci\u0105\u017cenia CPU lub GPU<\/span><\/b><span data-contrast=\"auto\">, widoczny zar\u00f3wno na stacjach roboczych, jak i na serwerach, mimo \u017ce u\u017cytkownicy nie wykonuj\u0105 operacji wymagaj\u0105cych du\u017cej mocy obliczeniowej; charakterystyczne jest to, \u017ce wysokie obci\u0105\u017cenie utrzymuje si\u0119 tak\u017ce poza godzinami pracy,<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"1\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"2\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">spowolnienie dzia\u0142ania system\u00f3w i aplikacji<\/span><\/b><span data-contrast=\"auto\">, szczeg\u00f3lnie tych wsp\u00f3\u0142dziel\u0105cych zasoby z innymi us\u0142ugami; u\u017cytkownicy zg\u0142aszaj\u0105 wolniejsze dzia\u0142anie system\u00f3w, ale monitoring aplikacyjny nie wskazuje jednoznacznego powodu,<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"1\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"3\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">nadmierne nagrzewanie si\u0119 sprz\u0119tu oraz g\u0142o\u015bniejsza praca wentylator\u00f3w<\/span><\/b><span data-contrast=\"auto\">, co jest szczeg\u00f3lnie zauwa\u017calne na stacjach roboczych i laptopach, kt\u00f3re wcze\u015bniej dzia\u0142a\u0142y stabilnie przy podobnym obci\u0105\u017ceniu,<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"1\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"4\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">pojawienie si\u0119 nieznanych lub podejrzanie nazwanych proces\u00f3w<\/span><\/b><span data-contrast=\"auto\">, cz\u0119sto podszywaj\u0105cych si\u0119 pod elementy systemowe albo uruchamianych z nietypowych lokalizacji; procesy te potrafi\u0105 restartowa\u0107 si\u0119 po zako\u0144czeniu lub dzia\u0142a\u0107 pod r\u00f3\u017cnymi nazwami,<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"1\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"5\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">zwi\u0119kszone zu\u017cycie zasob\u00f3w w \u015brodowiskach chmurowych<\/span><\/b><span data-contrast=\"auto\">, gdzie instancje zaczynaj\u0105 pracowa\u0107 pod wy\u017cszym obci\u0105\u017ceniem lub mechanizmy\u00a0autoskalowania\u00a0uruchamiaj\u0105 dodatkowe zasoby bez zmian po stronie aplikacji,<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"1\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"6\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">nietypowa aktywno\u015b\u0107 urz\u0105dze\u0144 poza godzinami pracy<\/span><\/b><span data-contrast=\"auto\">, gdy infrastruktura generuje podobne obci\u0105\u017cenie w nocy, weekendy lub \u015bwi\u0119ta, mimo \u017ce organizacja nie prowadzi wtedy intensywnych operacji.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<p><span data-contrast=\"auto\">Kluczowe jest jednak to, \u017ce\u00a0<\/span><b><span data-contrast=\"auto\">pojedynczy objaw nie oznacza jeszcze\u00a0kryptojackingu<\/span><\/b><span data-contrast=\"auto\">. Wysokie u\u017cycie CPU mo\u017ce wynika\u0107 z aktualizacji systemu, backupu lub nowych zada\u0144 aplikacyjnych. Dopiero zestaw kilku symptom\u00f3w wyst\u0119puj\u0105cych r\u00f3wnocze\u015bnie powinien sk\u0142oni\u0107 do dok\u0142adniejszej analizy.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">W praktyce w\u0142a\u015bnie takie \u201edrobne anomalie\u201d, zauwa\u017cane w r\u00f3\u017cnych miejscach infrastruktury, cz\u0119sto okazuj\u0105 si\u0119 pierwszym sygna\u0142em, \u017ce cz\u0119\u015b\u0107 \u015brodowiska zacz\u0119\u0142a pracowa\u0107 na czyj\u015b zysk zamiast na potrzeby organizacji.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<h2 aria-level=\"2\"><span class=\"ez-toc-section\" id=\"Jak_mozna_wykryc_kopanie_kryptowalut_w_organizacji\"><\/span><b><span data-contrast=\"none\">Jak mo\u017cna wykry\u0107 kopanie\u00a0kryptowalut\u00a0w organizacji<\/span><\/b><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;134245418&quot;:true,&quot;134245529&quot;:true,&quot;335559738&quot;:299,&quot;335559739&quot;:299}\">\u00a0<\/span><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p><span data-contrast=\"auto\">Cho\u0107 pierwsze symptomy\u00a0kryptojackingu\u00a0najcz\u0119\u015bciej zauwa\u017calne s\u0105 na poziomie stacji roboczych lub serwer\u00f3w, najbardziej wiarygodne sygna\u0142y pojawiaj\u0105 si\u0119 w ruchu sieciowym. Nawet je\u015bli z\u0142o\u015bliwe oprogramowanie skutecznie ukrywa si\u0119 w systemie operacyjnym lub ogranicza zu\u017cycie zasob\u00f3w, nadal musi komunikowa\u0107 si\u0119 z zewn\u0119trzn\u0105 infrastruktur\u0105 odpowiedzialn\u0105 za proces kopania.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">I w\u0142a\u015bnie tu pojawia si\u0119 przewaga analizy sieci. Proces dzia\u0142aj\u0105cy lokalnie mo\u017cna zamaskowa\u0107, zmieni\u0107 jego nazw\u0119 albo uruchamia\u0107 go tylko okresowo, ale komunikacji sieciowej nie da si\u0119 ca\u0142kowicie ukry\u0107. Ka\u017cda koparka musi stale wymienia\u0107 dane z serwerami zarz\u0105dzaj\u0105cymi wydobyciem, co tworzy powtarzalne i stosunkowo \u0142atwe do zauwa\u017cenia wzorce ruchu.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">W praktyce zespo\u0142y SOC i NOC powinny zwraca\u0107 uwag\u0119 przede wszystkim na:<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"2\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"1\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">po\u0142\u0105czenia wychodz\u0105ce na nietypowe porty<\/span><\/b><span data-contrast=\"auto\">, kt\u00f3re nie s\u0105 wykorzystywane przez standardowe aplikacje dzia\u0142aj\u0105ce w organizacji; cz\u0119sto s\u0105 to porty charakterystyczne dla oprogramowania kopi\u0105cego, cho\u0107 coraz cz\u0119\u015bciej ruch jest maskowany jako zwyk\u0142y ruch aplikacyjny,<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"2\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"2\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">regularn\u0105 komunikacj\u0119 z serwerami powi\u0105zanymi z pulami wydobywczymi<\/span><\/b><span data-contrast=\"auto\">, czyli infrastruktur\u0105, kt\u00f3ra koordynuje proces kopania\u00a0kryptowalut\u00a0i do kt\u00f3rej urz\u0105dzenia przesy\u0142aj\u0105 wyniki oblicze\u0144,<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"2\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"3\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">nietypowe lub powtarzalne zapytania DNS<\/span><\/b><span data-contrast=\"auto\">, kieruj\u0105ce do domen, kt\u00f3re nie s\u0105 powi\u0105zane z normaln\u0105 dzia\u0142alno\u015bci\u0105 organizacji, a czasami zmieniaj\u0105 si\u0119 bardzo cz\u0119sto, aby utrudni\u0107 blokowanie ruchu,<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"2\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"4\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">sta\u0142y, d\u0142ugotrwa\u0142y transfer danych generowany przez pojedynczy host<\/span><\/b><span data-contrast=\"auto\">, kt\u00f3ry utrzymuje komunikacj\u0119 z tymi samymi adresami przez wiele godzin lub dni, tak\u017ce poza godzinami pracy.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<p><span data-contrast=\"auto\">Istotne jest to, \u017ce taki ruch zwykle nie jest bardzo du\u017cy. Koparka nie musi przesy\u0142a\u0107 ogromnych ilo\u015bci danych, dlatego aktywno\u015b\u0107 ta cz\u0119sto ginie w tle codziennej komunikacji sieciowej. Dopiero spojrzenie na wzorce po\u0142\u0105cze\u0144 w d\u0142u\u017cszym okresie pozwala zauwa\u017cy\u0107, \u017ce jedno urz\u0105dzenie utrzymuje sta\u0142y, powtarzalny kontakt z infrastruktur\u0105 zewn\u0119trzn\u0105.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Dlatego w praktyce m\u00f3wi si\u0119, \u017ce\u00a0<\/span><b><span data-contrast=\"auto\">sie\u0107 nie k\u0142amie<\/span><\/b><span data-contrast=\"auto\">. Nawet je\u015bli na poziomie hosta trudno jednoznacznie wskaza\u0107 problem, analiza ruchu pozwala szybko zauwa\u017cy\u0107 urz\u0105dzenia, kt\u00f3re komunikuj\u0105 si\u0119 w spos\u00f3b nietypowy i wymagaj\u0105 dalszego sprawdzenia. To w\u0142a\u015bnie ten punkt staje si\u0119 naturalnym momentem przej\u015bcia od og\u00f3lnej obserwacji do konkretnej analizy w narz\u0119dziach takich jak\u00a0Sycope.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<h2 aria-level=\"2\"><span class=\"ez-toc-section\" id=\"Jak_wyglada_wykrywanie_takich_dzialan_w_Sycope\"><\/span><b><span data-contrast=\"none\">Jak wygl\u0105da wykrywanie takich dzia\u0142a\u0144 w\u00a0Sycope<\/span><\/b><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;134245418&quot;:true,&quot;134245529&quot;:true,&quot;335559738&quot;:299,&quot;335559739&quot;:299}\">\u00a0<\/span><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p><span data-contrast=\"auto\">W praktyce wykrywanie ruchu zwi\u0105zanego z kopaniem\u00a0kryptowalut\u00a0nie powinno wymaga\u0107 r\u0119cznego analizowania ogromnych ilo\u015bci danych sieciowych. Dlatego w\u00a0Sycope\u00a0analityk mo\u017ce w prosty spos\u00f3b wyszuka\u0107 po\u0142\u0105czenia, kt\u00f3re odpowiadaj\u0105 wzorcom charakterystycznym dla\u00a0kryptominingu, bez konieczno\u015bci zag\u0142\u0119biania si\u0119 w szczeg\u00f3\u0142y techniczne komunikacji.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">System wykorzystuje gotowe zestawy znacznik\u00f3w i regu\u0142 powi\u0105zanych z ruchem generowanym przez koparki\u00a0kryptowalut, w tym listy port\u00f3w oraz charakterystycznych typ\u00f3w komunikacji. Dzi\u0119ki temu mo\u017cliwe jest natychmiastowe wskazanie host\u00f3w w sieci, kt\u00f3re generuj\u0105 podejrzany ruch, bez potrzeby tworzenia w\u0142asnych, skomplikowanych zapyta\u0144 czy analizowania pojedynczych sesji.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Przeciwnicy mog\u0105 instalowa\u0107 aplikacje do kopania\u00a0kryptowalut\u00a0na przej\u0119tych hostach, co jest jedn\u0105 z konsekwencji z\u0142o\u015bliwej aktywno\u015bci. Dodatkowo instalacja takich aplikacji mo\u017ce by\u0107 wykonywana przez pracownik\u00f3w organizacji, kt\u00f3rzy chc\u0105 wykorzysta\u0107 darmow\u0105 moc obliczeniow\u0105 \u2013 co zazwyczaj stanowi naruszenie polityki bezpiecze\u0144stwa organizacji.<\/span><span data-ccp-props=\"{}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Po wskazaniu takich urz\u0105dze\u0144 analityk mo\u017ce od razu sprawdzi\u0107, z jakimi adresami IP i domenami komunikuj\u0105 si\u0119 dane hosty, jak d\u0142ugo utrzymywane s\u0105 po\u0142\u0105czenia oraz czy ruch ma charakter sta\u0142y i powtarzalny. To pozwala szybko oceni\u0107, czy mamy do czynienia z realnym przypadkiem\u00a0kryptojackingu, czy jedynie z nietypow\u0105, ale legaln\u0105 aktywno\u015bci\u0105 aplikacyjn\u0105.<\/span><span data-ccp-props=\"{}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Zatem w jaki dok\u0142adnie spos\u00f3b mo\u017cna spr\u00f3bowa\u0107 wykry\u0107 technik\u0119 Resource\u00a0Hijacking\u00a0(https:\/\/attack.mitre.org\/techniques\/T1496\/), czyli technik\u0119 MITRE ATT&amp;CK zwi\u0105zan\u0105 z kopaniem\u00a0kryptowalut?<\/span><span data-ccp-props=\"{}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Wykrycie takiej aktywno\u015bci mo\u017ce by\u0107 mo\u017cliwe dzi\u0119ki monitorowaniu komunikacji z\/do nietypowych port\u00f3w, np. 3333, 4444, 5555, 6666, 7777, 8888, 9999, a tak\u017ce reputacji adres\u00f3w IP i URL-i zwi\u0105zanych z hostami\u00a0kryptowalutowymi. Mo\u017cna wi\u0119c wykorzysta\u0107 logi i dane przep\u0142ywu z takich \u017ar\u00f3de\u0142 jak ruch sieciowy (Web Proxy, Firewall,\u00a0Load\u00a0Balancer, IDS\/IPS,\u00a0NetFlow), logi DNS, logi aplikacyjne, logi\u00a0Sysmon\u00a0\/ logi bezpiecze\u0144stwa, by wykry\u0107 tak\u0105 aktywno\u015b\u0107.<\/span><span data-ccp-props=\"{}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">W systemie\u00a0Sycope\u00a0NSM mo\u017cesz u\u017cy\u0107 poni\u017cszego zapytania, aby wyszuka\u0107 takie aktywno\u015bci w ruchu sieciowym:\u00a0<strong>lookupKeyExists(\u201esec-port-cryptomining\u201d, {\u201ePort\u201d:\u00a0serverPort\u00a0})\u00a0or\u00a0lookupKeyExists(\u201esec-port-cryptomining\u201d, {\u201ePort\u201d:\u00a0clientPort\u00a0})<\/strong><\/span><\/p>\n<figure id=\"attachment_955\" aria-describedby=\"caption-attachment-955\" style=\"width: 757px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-955\" src=\"https:\/\/sycope.com\/wp-content\/uploads\/2025\/04\/638619e7e4a6eac3e282baac_cryptoming-activities-1.png\" alt=\"\" width=\"757\" height=\"392\" srcset=\"https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/638619e7e4a6eac3e282baac_cryptoming-activities-1.png 893w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/638619e7e4a6eac3e282baac_cryptoming-activities-1-300x155.png 300w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/638619e7e4a6eac3e282baac_cryptoming-activities-1-768x397.png 768w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/638619e7e4a6eac3e282baac_cryptoming-activities-1-360x185.png 360w\" sizes=\"auto, (max-width: 757px) 100vw, 757px\" \/><figcaption id=\"caption-attachment-955\" class=\"wp-caption-text\">Rysunek 1. Lookupy zawieraj\u0105ce porty zwi\u0105zane z aktywno\u015bci\u0105 kopania kryptowalut<\/figcaption><\/figure>\n<p>&nbsp;<\/p>\n<figure id=\"attachment_956\" aria-describedby=\"caption-attachment-956\" style=\"width: 757px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-956\" src=\"https:\/\/sycope.com\/wp-content\/uploads\/2025\/04\/63861a55e4a6ea8fd782e12e_cryptomining-activities-3.png\" alt=\"\" width=\"757\" height=\"377\" srcset=\"https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/63861a55e4a6ea8fd782e12e_cryptomining-activities-3.png 892w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/63861a55e4a6ea8fd782e12e_cryptomining-activities-3-300x149.png 300w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/63861a55e4a6ea8fd782e12e_cryptomining-activities-3-768x382.png 768w\" sizes=\"auto, (max-width: 757px) 100vw, 757px\" \/><figcaption id=\"caption-attachment-956\" class=\"wp-caption-text\">Rysunek 2. Analiza potencjalnej aktywno\u015bci kopania kryptowalut w systemie Sycope NSM<\/figcaption><\/figure>\n<p><span data-contrast=\"auto\">Jak wida\u0107, analiza tego typu aktywno\u015bci jest prosta i szybka \u2013 szczeg\u00f3lnie je\u015bli dysponujemy odpowiednim narz\u0119dziem do tworzenia szybkich zapyta\u0144 typu\u00a0threat\u00a0hunting.\u00a0Najwa\u017cniejsze w tym podej\u015bciu jest to, \u017ce droga od pierwszego podejrzenia do wskazania konkretnego urz\u0105dzenia zajmuje zwykle kilka minut. Dzi\u0119ki temu zesp\u00f3\u0142 SOC lub NOC mo\u017ce szybko przej\u015b\u0107 do dalszej analizy hosta i ograniczenia ryzyka, zamiast traci\u0107 czas na r\u0119czne przeszukiwanie log\u00f3w z wielu r\u00f3\u017cnych system\u00f3w.<\/span><span data-ccp-props=\"{}\">\u00a0<\/span><\/p>\n<h2 aria-level=\"2\"><span class=\"ez-toc-section\" id=\"Co_organizacja_powinna_zrobic_jesli_wykryje_takie_zachowanie\"><\/span><b><span data-contrast=\"none\">Co organizacja powinna zrobi\u0107, je\u015bli wykryje takie zachowanie<\/span><\/b><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;134245418&quot;:true,&quot;134245529&quot;:true,&quot;335559738&quot;:299,&quot;335559739&quot;:299}\">\u00a0<\/span><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p><span data-contrast=\"auto\">Samo wykrycie ruchu wskazuj\u0105cego na kopanie\u00a0kryptowalut\u00a0nie musi jeszcze oznacza\u0107 powa\u017cnego incydentu bezpiecze\u0144stwa, ale zawsze powinno uruchomi\u0107 podstawow\u0105 procedur\u0119 weryfikacyjn\u0105. Kluczowe jest szybkie ograniczenie wykorzystania zasob\u00f3w oraz ustalenie, czy mamy do czynienia z pojedynczym przypadkiem nadu\u017cycia, czy z elementem wi\u0119kszego problemu bezpiecze\u0144stwa.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">W praktyce pierwsze dzia\u0142ania zwykle sprowadzaj\u0105 si\u0119 do kilku krok\u00f3w, kt\u00f3re pozwalaj\u0105 szybko ustabilizowa\u0107 sytuacj\u0119 i zebra\u0107 niezb\u0119dne informacje do dalszej analizy.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"3\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"1\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">Od\u0142\u0105czy\u0107 lub ograniczy\u0107 komunikacj\u0119 podejrzanego hosta<\/span><\/b><br \/>\n<span data-contrast=\"auto\">Je\u015bli urz\u0105dzenie generuje ruch charakterystyczny dla koparki\u00a0kryptowalut, warto czasowo odizolowa\u0107 je od sieci lub przynajmniej ograniczy\u0107 ruch wychodz\u0105cy. Nie chodzi od razu o ca\u0142kowite wy\u0142\u0105czenie systemu, lecz o zatrzymanie dalszego wykorzystania zasob\u00f3w i potencjalnej komunikacji z infrastruktur\u0105 zewn\u0119trzn\u0105. Jednocze\u015bnie dobrze jest zachowa\u0107 mo\u017cliwo\u015b\u0107 analizy systemu w aktualnym stanie, zanim zostanie on zrestartowany lub zmodyfikowany.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"3\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"2\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">Sprawdzi\u0107 procesy i uruchomione us\u0142ugi na urz\u0105dzeniu<\/span><\/b><br \/>\n<span data-contrast=\"auto\">Kolejnym krokiem powinna by\u0107 weryfikacja tego, co faktycznie dzia\u0142a na danym ho\u015bcie. Warto sprawdzi\u0107 list\u0119 aktywnych proces\u00f3w, zaplanowanych zada\u0144 oraz us\u0142ug uruchamianych automatycznie przy starcie systemu. Koparki cz\u0119sto pr\u00f3buj\u0105 ukrywa\u0107 si\u0119 pod nazwami przypominaj\u0105cymi elementy systemowe lub aplikacje u\u017cytkowe, dlatego istotne jest zwr\u00f3cenie uwagi na procesy dzia\u0142aj\u0105ce z nietypowych lokalizacji lub generuj\u0105ce sta\u0142e obci\u0105\u017cenie procesora.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"3\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"3\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">Poinformowa\u0107 odpowiednie zespo\u0142y lub osoby odpowiedzialne za bezpiecze\u0144stwo<\/span><\/b><br \/>\n<span data-contrast=\"auto\">Nawet je\u015bli problem wydaje si\u0119 lokalny, informacja powinna trafi\u0107 do zespo\u0142\u00f3w odpowiedzialnych za bezpiecze\u0144stwo i administracj\u0119 infrastruktury. Pozwala to sprawdzi\u0107, czy podobne objawy nie pojawiaj\u0105 si\u0119 ju\u017c w innych segmentach sieci, lokalizacjach lub \u015brodowiskach chmurowych. W wielu przypadkach dopiero po zestawieniu informacji z r\u00f3\u017cnych cz\u0119\u015bci organizacji okazuje si\u0119, \u017ce problem dotyczy wi\u0119kszej liczby urz\u0105dze\u0144.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"3\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"4\" data-aria-level=\"1\"><b><span data-contrast=\"auto\">Zweryfikowa\u0107 polityki bezpiecze\u0144stwa i uprawnienia u\u017cytkownik\u00f3w<\/span><\/b><br \/>\n<span data-contrast=\"auto\">Ostatnim, ale bardzo wa\u017cnym krokiem jest sprawdzenie, w jaki spos\u00f3b oprogramowanie kopi\u0105ce znalaz\u0142o si\u0119 w \u015brodowisku. Czy u\u017cytkownik mia\u0142 mo\u017cliwo\u015b\u0107 samodzielnej instalacji aplikacji? Czy urz\u0105dzenie by\u0142o odpowiednio aktualizowane? Czy dost\u0119p administracyjny nie jest przyznawany zbyt szeroko? Taka analiza pozwala ograniczy\u0107 ryzyko powt\u00f3rzenia podobnej sytuacji w przysz\u0142o\u015bci.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<p><span data-contrast=\"auto\">Ta podstawowa\u00a0checklista\u00a0nie zast\u0119puje pe\u0142nej procedury reagowania na incydenty, ale w wi\u0119kszo\u015bci przypadk\u00f3w pozwala szybko ustali\u0107 skal\u0119 problemu i zdecydowa\u0107, czy potrzebna jest dalsza, bardziej szczeg\u00f3\u0142owa analiza bezpiecze\u0144stwa.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<h2 aria-level=\"2\"><span class=\"ez-toc-section\" id=\"FAQ_%E2%80%94_najczestsze_pytania_o_kryptojacking_w_organizacji\"><\/span><b><span data-contrast=\"none\">FAQ \u2014 najcz\u0119stsze pytania o\u00a0kryptojacking\u00a0w organizacji<\/span><\/b><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;134245418&quot;:true,&quot;134245529&quot;:true,&quot;335559738&quot;:299,&quot;335559739&quot;:299}\">\u00a0<\/span><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p aria-level=\"3\"><b><span data-contrast=\"none\">Czy pracownik mo\u017ce legalnie kopa\u0107\u00a0kryptowaluty\u00a0na firmowym komputerze, je\u015bli nie powoduje to problem\u00f3w?<\/span><\/b><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;134245418&quot;:true,&quot;134245529&quot;:true,&quot;335559738&quot;:281,&quot;335559739&quot;:281}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">W wi\u0119kszo\u015bci organizacji odpowied\u017a brzmi: nie. Nawet je\u015bli u\u017cytkownik twierdzi, \u017ce koparka nie wp\u0142ywa na wydajno\u015b\u0107 systemu, nadal oznacza to wykorzystanie firmowych zasob\u00f3w do prywatnych cel\u00f3w bez zgody pracodawcy.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Dodatkowo nawet niewielkie, ale sta\u0142e obci\u0105\u017cenie przek\u0142ada si\u0119 na wy\u017csze zu\u017cycie energii, szybsze zu\u017cycie sprz\u0119tu oraz potencjalne ryzyko bezpiecze\u0144stwa, poniewa\u017c oprogramowanie kopi\u0105ce cz\u0119sto komunikuje si\u0119 z zewn\u0119trzn\u0105 infrastruktur\u0105, nad kt\u00f3r\u0105 organizacja nie ma kontroli. Z tego powodu instalowanie takich narz\u0119dzi zwykle narusza regulaminy u\u017cytkowania sprz\u0119tu i polityki bezpiecze\u0144stwa.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p aria-level=\"3\"><b><span data-contrast=\"none\">Jakie porty s\u0105 najcz\u0119\u015bciej wykorzystywane przez koparki\u00a0kryptowalut?<\/span><\/b><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;134245418&quot;:true,&quot;134245529&quot;:true,&quot;335559738&quot;:281,&quot;335559739&quot;:281}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">W praktyce cz\u0119sto spotyka si\u0119 ruch realizowany przez porty takie jak 3333, 4444, 5555 czy 7777, kt\u00f3re s\u0105 historycznie powi\u0105zane z popularnym oprogramowaniem do kopania\u00a0kryptowalut.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Problem polega jednak na tym, \u017ce wsp\u00f3\u0142czesne narz\u0119dzia oraz\u00a0malware\u00a0coraz cz\u0119\u015bciej korzystaj\u0105 z innych port\u00f3w albo tuneluj\u0105 ruch przez standardowe us\u0142ugi, aby utrudni\u0107 wykrycie. Dlatego sama obserwacja numeru portu nie wystarcza do jednoznacznego stwierdzenia problemu. Znacznie wa\u017cniejsze jest analizowanie wzorc\u00f3w komunikacji i sta\u0142o\u015bci po\u0142\u0105cze\u0144 wychodz\u0105cych.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p aria-level=\"3\"><b><span data-contrast=\"none\">Czy klasyczny antywirus wystarczy, \u017ceby wykry\u0107\u00a0kryptojacking?<\/span><\/b><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;134245418&quot;:true,&quot;134245529&quot;:true,&quot;335559738&quot;:281,&quot;335559739&quot;:281}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Czasami tak, szczeg\u00f3lnie gdy wykorzystywane jest znane oprogramowanie kopi\u0105ce lub\u00a0malware\u00a0rozpoznawane przez aktualne bazy sygnatur. Problem polega na tym, \u017ce wiele nowoczesnych wariant\u00f3w koparek dzia\u0142a w spos\u00f3b utrudniaj\u0105cy wykrycie albo wykorzystuje legalne narz\u0119dzia systemowe do uruchamiania proces\u00f3w kopania.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Dlatego w praktyce skuteczniejsze jest \u0142\u0105czenie informacji z urz\u0105dze\u0144 ko\u0144cowych z analiz\u0105 ruchu sieciowego. Nawet je\u015bli proces na ho\u015bcie nie zostanie od razu rozpoznany jako zagro\u017cenie, jego komunikacja z infrastruktur\u0105 wydobywcz\u0105 pozostawia wyra\u017ane \u015blady w sieci.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p aria-level=\"3\"><b><span data-contrast=\"none\">Czy kopanie\u00a0kryptowalut\u00a0zawsze oznacza atak na organizacj\u0119?<\/span><\/b><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;134245418&quot;:true,&quot;134245529&quot;:true,&quot;335559738&quot;:281,&quot;335559739&quot;:281}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Nie zawsze. W cz\u0119\u015bci przypadk\u00f3w \u017ar\u00f3d\u0142em problemu okazuje si\u0119 pracownik, kt\u00f3ry samodzielnie instaluje kopark\u0119 na s\u0142u\u017cbowym sprz\u0119cie lub wykorzystuje zasoby serwera do prywatnych cel\u00f3w.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Z punktu widzenia organizacji efekt jest jednak podobny \u2014 zasoby infrastruktury s\u0105 wykorzystywane w spos\u00f3b nieautoryzowany, co generuje koszty i zwi\u0119ksza ryzyko operacyjne. Dodatkowo takie dzia\u0142ania mog\u0105 maskowa\u0107 inne problemy bezpiecze\u0144stwa lub utrudnia\u0107 ich wykrycie.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p aria-level=\"3\"><b><span data-contrast=\"none\">Co zrobi\u0107, je\u015bli wykryj\u0119 kopanie\u00a0kryptowalut\u00a0w mojej organizacji?<\/span><\/b><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;134245418&quot;:true,&quot;134245529&quot;:true,&quot;335559738&quot;:281,&quot;335559739&quot;:281}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Najwa\u017cniejsze jest szybkie ograniczenie ryzyka i ustalenie \u017ar\u00f3d\u0142a problemu. W pierwszej kolejno\u015bci warto:<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"4\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"1\" data-aria-level=\"1\"><span data-contrast=\"auto\">odizolowa\u0107 podejrzane urz\u0105dzenie lub ograniczy\u0107 jego komunikacj\u0119 sieciow\u0105,<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"4\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"2\" data-aria-level=\"1\"><span data-contrast=\"auto\">sprawdzi\u0107 procesy oraz zainstalowane oprogramowanie,<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"4\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"3\" data-aria-level=\"1\"><span data-contrast=\"auto\">przeanalizowa\u0107 logi systemowe i sieciowe, aby ustali\u0107 moment rozpocz\u0119cia aktywno\u015bci,<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"4\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"4\" data-aria-level=\"1\"><span data-contrast=\"auto\">zweryfikowa\u0107 spos\u00f3b, w jaki oprogramowanie znalaz\u0142o si\u0119 w \u015brodowisku,<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<ul>\n<li aria-setsize=\"-1\" data-leveltext=\"\uf0b7\" data-font=\"Symbol\" data-listid=\"4\" data-list-defn-props=\"{&quot;335552541&quot;:1,&quot;335559685&quot;:720,&quot;335559991&quot;:360,&quot;469769226&quot;:&quot;Symbol&quot;,&quot;469769242&quot;:[8226],&quot;469777803&quot;:&quot;left&quot;,&quot;469777804&quot;:&quot;\uf0b7&quot;,&quot;469777815&quot;:&quot;hybridMultilevel&quot;}\" data-aria-posinset=\"5\" data-aria-level=\"1\"><span data-contrast=\"auto\">oraz zaktualizowa\u0107 polityki i zabezpieczenia, aby zapobiec podobnym sytuacjom w przysz\u0142o\u015bci.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/li>\n<\/ul>\n<p><span data-contrast=\"auto\">Takie dzia\u0142ania zwykle pozwalaj\u0105 szybko ustali\u0107, czy problem dotyczy pojedynczego urz\u0105dzenia, czy te\u017c szerszego fragmentu infrastruktury.<\/span><span data-ccp-props=\"{&quot;134233117&quot;:false,&quot;134233118&quot;:false,&quot;335559738&quot;:240,&quot;335559739&quot;:240}\">\u00a0<\/span><\/p>\n<p><span data-contrast=\"auto\">Kryptojacking\u00a0sta\u0142 si\u0119 realnym, codziennym problemem operacyjnym, ale dzi\u0119ki widoczno\u015bci ruchu sieciowego mo\u017cna go wykry\u0107 szybko, zanim zacznie realnie wp\u0142ywa\u0107 na wydajno\u015b\u0107 i koszty infrastruktury. Platforma\u00a0Sycope\u00a0pozwala zrobi\u0107 to w prosty i szybki spos\u00f3b, umo\u017cliwiaj\u0105c zespo\u0142om SOC i NOC sprawne przej\u015bcie od pierwszego sygna\u0142u do wskazania konkretnego \u017ar\u00f3d\u0142a problemu.<\/span><br \/>\n<span data-ccp-props=\"{}\">\u00a0<\/span><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Czym jest\u00a0kryptojacking?\u00a0 Kryptojacking\u00a0to sytuacja, w kt\u00f3rej kto\u015b wykorzystuje firmowe zasoby obliczeniowe do kopania\u00a0kryptowalut\u00a0bez zgody organizacji. W praktyce oznacza to uruchomienie na stacji roboczej, serwerze, a czasem w \u015brodowisku chmurowym procesu, kt\u00f3rego jedynym celem jest wykonywanie oblicze\u0144 na rzecz \u201ekopalni\u201d i przekazywanie wynik\u00f3w na zewn\u0105trz. Najwa\u017cniejsze jest tu s\u0142owo \u201enieautoryzowane\u201d \u2014 niezale\u017cnie od tego, czy za [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":1397,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[99],"tags":[114,145,115,160],"product":[165],"topic":[167,168],"sycope_author":[251],"class_list":["post-1839","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-analizy-netflow","tag-mitre-attck-pl","tag-skanowanie-sieci","tag-wykrywanie-kopania-kryptowalut","product-security-pl","topic-bezpieczenstwo-sieci","topic-monitorowanie-i-analiza-sieci","sycope_author-pawel-drzewiecki"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts\/1839","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/comments?post=1839"}],"version-history":[{"count":4,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts\/1839\/revisions"}],"predecessor-version":[{"id":3490,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts\/1839\/revisions\/3490"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media\/1397"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=1839"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/categories?post=1839"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/tags?post=1839"},{"taxonomy":"product","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/product?post=1839"},{"taxonomy":"topic","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/topic?post=1839"},{"taxonomy":"sycope_author","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/sycope_author?post=1839"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}