Cryptojacking: amikor egy gép másnak bányászik

Mi ez

A cryptojacking az, amikor valaki olyan hardveren futtat bányászprogramot, amely nem az övé, és amelyért nem ő fizet. Ez nem szűk jelenség: ez a leggyakoribb dolog, amit egy kártevő egy géppel tesz, amint megszerezte, mert a haszonhoz utána egyetlen áldozatot sem kell rávenni semmire. Az áram az áldozat, és a számla csendben érkezik.

Szinte mindig Moneróról van szó. Ez az érme nyereségesen bányászható hétköznapi processzorokon, így néhány ezer irodai asztali gép is megéri, és a magánszféra-védelme miatt a pénz nem követhető. A program általában az XMRig, egy hétköznapi nyílt forráskódú bányászprogram, megváltoztatott névvel és konfigurációval.

Egy másnak bányászó gép nem úgy viselkedik fertőzöttként, ahogy az emberek várják. Semmi sincs titkosítva, egyetlen fájl sem hiányzik, nem jelenik meg váltságdíj-követelés. Egyszerűen melegen fut, lassít, öregíti a ventilátorait, és pénzbe kerül.

Miért más ez, ha Ön már bányászik

Minden általános cikk ugyanazt mondja: figyelje a magas processzorhasználatot, figyelje a hőt, figyelje a ventilátorokat. Egy rigen mindhárom a normál állapot, így a szokásos tanács semmit sem észlel. Bányászként Ön a legjobban felszerelt arra, hogy ezt megtalálja, és a legkönnyebben becsapható is.

Az előnye az, hogy van valamije, ami szinte senki másnak nincs: egy második, független feljegyzés arról, mit termelt a hardvere. A pool irányítópultját valaki más szerverén mérik, a ténylegesen beérkezett munkából. Ha a rig jelez egy hashrátát, és az irányítópult érdemben alatta marad, miután az elavult részesedéseket is figyelembe vette, akkor valami elfogyasztja a különbséget.

Hogyan jut be

Az útvonalak alig változtak, és egyikhez sem kell kifinomult támadó.

• Feltört és kalóz szoftverek. Még mindig ez a legnagyobb egyedi forrás. Egy fizetős alkalmazás kulcsgenerátora vagy patchelt telepítője olyan program, amelynek futtatásába a saját jogosultságaival beleegyezett, és a bányászprogram az archívumban utazik vele.
• Bármi, ami javítás nélkül ki van téve az internetnek. A szerverszoftverek régi, széles körben ismert hibáit folyamatosan keresik, és a bányászprogram a kedvelt rakomány, mert pénzzé teszi azt a gépet is, amelyen semmi ellopásra érdemes nincs.
• USB. Az újabb kampányok átmásolják magukat a cserélhető meghajtókra, és egy olyan parancsikon mögé bújnak, amely a meghajtó ikonjának látszik; így fertőződik meg egy internetre egyáltalán nem kitett hálózat is.
• Konténer- és buildképek. Egy nyilvános registryből letöltött alapkép is hordozhat ilyet, és az ezután minden belőle épített környezetben bányászik.
• Egy böngészőfül, bár sokkal kevésbé, mint egykor. Az oldal megnyitása alatt bányászó szkriptek egész iparágat alkottak, amíg a legnagyobb szolgáltató 2019-ben be nem zárt; streaming- és letöltőoldalakon ma is léteznek, de leállnak, amikor a fül bezárul.

A jelek egy olyan gépen, amelynek tétlennek kellene lennie

• Soha nem tétlen igazán. A ventilátorok pörögnek, és a ház meleg marad, pedig semmi sincs megnyitva.
• Egy folyamat, amelyről nem tud számot adni, gyakran úgy elnevezve, hogy egy valódi rendszerfolyamat közelébe essen. Egyetlen karakternyi eltérés egy ismerős névben gyakori trükk.
• Terhelés, amely abban a pillanatban leesik, amikor megnyitja a feladatkezelőt, és visszatér, amikor bezárja. Ez a viselkedés szándékos, és önmagában szinte bizonyíték.
• Egy ütemezett feladat, szolgáltatás vagy indítási bejegyzés, amelyet senki sem hozott létre.
• Kimenő kapcsolatok egy fel nem ismert hoszthoz, rögzített ritmusban ismétlődve.

A jelek egy olyan rigen, amelynek bányásznia kellene

Itt nem az a kérdés, hogy bányászik-e valami, hanem az, hogy minden, ami bányászik, az Öné-e.

• Az irányítópult tartósan a rig által jelzett érték alatt marad, jobban, mint amit az elavult részesedések megmagyaráznak.
• Két bányászfolyamat, ahol Ön egyet indított. Egy több GPU-s rigen érdemes megszámolni.
• Az indítószkriptjében vagy a flight sheetjében olyan tárcacím vagy hoszt szerepel, amelyet nem Ön írt be. Olvassa el, ne csak pillantson rá: egy középen megváltoztatott cím ránézésre ugyanolyannak tűnik.
• Egy kártya melegen fut, és semmit sem termel az Ön poolján; így néz ki egy második bányászprogram, amely egy eszközhöz van kötve.
• Akkor is bányászik, amikor Ön leállította. Ha a saját bányászprogramja leállítása nem csendesíti el a gépet, valami más fut.

A tárcacsere, amely többe kerül az áramnál

A kártevők egy külön családja valami rosszabbat és egyszerűbbet tesz. Figyeli a vágólapot, és amikor tárcacímnek látszó valamit másol, kicseréli a támadóéra, olyat választva, amely ugyanazokkal a karakterekkel kezdődik és végződik, így egy gyors ellenőrzésen átmegy. Emberek nagy összegeket veszítettek így el, mindenféle bányászat nélkül, és a kettőt gyakran együtt telepítik.

Egy bányász számára ugyanennek az ötletnek van egy második változata: az indítószkriptben vagy a flight sheetben lévő címet egyszer átírják, és onnantól minden kifizetés máshová megy. Semmi sem romlik el. A rig tökéletesen bányászik. A pénz egyszerűen egy másik tárcába érkezik, és az emberek általában úgy fedezik fel, hogy azon csodálkoznak, miért nem jött meg egy kifizetés.

A védekezés unalmas, és működik. Miután bárhová, ahol számít, beillesztett egy címet, az egészet ellenőrizze, ne csak a végeit, és győződjön meg róla, hogy az irányítópultján látható cím az, amelyre gondolt. Ha a kifizetései leállnak, a hashrátája viszont nem, mindenekelőtt a címet ellenőrizze.

Hogyan ellenőrizze, sorrendben

• Hasonlítsa össze a két hashrátát. A rig által jelzettet a pool irányítópultjáéval, egy nap alatt, nem egy perc alatt.
• Olvassa el a saját konfigurációját. Minden tárcacímet és minden hosztot, karakterről karakterre, minden rigen.
• Állítsa le a bányászprogramját, és figyeljen. Az a gép, amely utána is elfoglalt marad, valami mást futtat.
• Sorolja fel, mi indul magától. Windowson az ütemezett feladatokat és a szolgáltatásokat, Linuxon az időzítőket és a cront, valamint mindazt, ami bejelentkezéskor fut.
• Nézze meg a kimenő kapcsolatokat, amíg a saját bányászprogramja le van állítva. Mindent, ami továbbra is ritmusosan kommunikál, érdemes azonosítani.
• Végezzen vizsgálatot egy megbízható eszközzel, de ne álljon meg egy tiszta eredménynél. A bányászprogramokat rendszeresen addig módosítják, amíg a keresők már nem ismerik fel őket, ezért ez a lépés az utolsó, nem az első.

Az eltávolítás nem a fájl törlése

Ezeket úgy építik, hogy visszatérjenek. Ha törli a programot, miközben az, ami elindítja, megmarad, csak néhány percet nyer. Távolítsa el az ütemezett feladatot, a szolgáltatást, az indítási bejegyzést, a cron sort és a rendszerleíró kulcsot, majd a fájlt, azután indítsa újra a gépet, és ellenőrizze, hogy semmi sem tért vissza.

Egy fontos gépen, és különösen mindenen, amely valaha tárcát vagy privát kulcsot tárolt, az újratelepítést tekintse az őszinte megoldásnak. Ugyanaz a hozzáférés, amely bányászprogramot telepített, bármi mást is telepíthetett, és egy modern kampány útközben hitelesítő adatokat is begyűjtött. Változtassa meg azokat a jelszavakat, amelyeket az a gép látott, egy másik eszközről.

Tiszta maradni

Azok a szabályok, amelyek ezt ténylegesen megelőzik, unalmasak, és éppen ezeket hagyják ki az emberek, mert a bányászat aláíratlan szoftverek letöltésével jár idegenektől.

• A bányászprogram a projekt saját kiadási oldaláról származzon, és ellenőrizze a közzétett ellenőrzőösszeget. Egy fórumlinkről, videóleírásból vagy újracsomagolt archívumból származó bányászprogram a legvalószínűbb módja annak, hogy egy bányászgép megfertőződjön, éppen azért, mert figyelmeztetésre számított, és elvetette.
• Soha ne futtasson feltört szoftvert olyan gépen, amely bányászik vagy tárcát tárol. Soha. A két szokás nem fér össze.
• Javítsa ki mindazt, ami ki van téve az internetnek. A legtöbb fertőzés automatizált, és verziószám alapján választja ki a gépeket.
• Tartsa külön azt a tárcát, amelybe a kifizetést kapja, attól a géptől, amely bányászik. Egy rignek csak címre van szüksége, kulcsokra soha.
• Ellenőrizze a kifizetési címét a rig minden módosítása után, és újra, ha bármi váratlan történik vele.