크립토재킹: 기기가 다른 사람을 위해 채굴할 때

크립토재킹이란

크립토재킹은 누군가가 자신이 소유하지도 비용을 내지도 않는 하드웨어에서 채굴 프로그램을 실행하는 것입니다. 드문 일이 아닙니다. 악성코드가 컴퓨터를 장악하면 가장 흔히 하는 일이 바로 이것입니다. 수익을 얻은 뒤 피해자를 더 속일 필요가 없기 때문입니다. 피해를 보는 것은 전기 요금이고, 청구서는 조용히 나옵니다.

거의 항상 Monero입니다. 이 코인은 일반 프로세서로도 수익을 내며 채굴할 수 있어서 사무용 PC 수천 대만 있어도 노릴 가치가 있고, 프라이버시 덕분에 돈의 흐름을 추적할 수 없습니다. 프로그램은 보통 XMRig로, 평범한 오픈소스 채굴 프로그램에 이름과 설정만 바꾼 것입니다.

남을 위해 채굴하는 컴퓨터는 사람들이 예상하는 감염 증상을 보이지 않습니다. 암호화된 파일도, 사라진 파일도, 몸값 요구 메시지도 없습니다. 그저 뜨거워지고, 성능이 떨어지고, 팬이 빨리 닳고, 돈이 듭니다.

이미 채굴하고 있다면 다른 이유

일반적인 문서는 모두 같은 말을 합니다. 프로세서 사용률이 높은지, 발열이 있는지, 팬이 도는지 보라고 합니다. 채굴기에서는 이 세 가지가 모두 정상 상태이므로 흔한 조언으로는 아무것도 찾아내지 못합니다. 채굴자는 이를 발견하기에 가장 유리한 사람이면서 가장 속기 쉬운 사람이기도 합니다.

유리한 점은 다른 사람에게는 거의 없는 것을 가지고 있다는 것입니다. 하드웨어가 만들어 낸 결과에 대한 두 번째 독립적인 기록입니다. 풀 대시보드는 다른 사람의 서버에서 실제로 도착한 작업을 기준으로 측정됩니다. 채굴기가 보고하는 해시레이트보다 대시보드가 스테일 셰어를 감안하고도 눈에 띄게 낮다면, 무언가가 그 차이를 소비하고 있는 것입니다.

들어오는 경로

경로는 크게 바뀌지 않았고, 어느 것도 고도의 공격자를 필요로 하지 않습니다.

• 크랙 및 불법 복제 소프트웨어. 여전히 가장 큰 단일 경로입니다. 유료 프로그램의 키젠이나 패치된 설치 파일은 내 권한으로 실행하기로 동의한 프로그램이며, 채굴 프로그램은 압축 파일 안에 함께 따라 들어옵니다.
• 패치 없이 인터넷에 노출된 모든 것. 서버 소프트웨어의 널리 알려진 오래된 취약점은 끊임없이 스캔되며, 채굴 프로그램은 훔칠 만한 것이 없는 컴퓨터도 돈으로 바꿔 주기 때문에 가장 선호되는 페이로드입니다.
• USB. 최근의 공격은 이동식 저장 장치에 스스로를 복사하고 드라이브 아이콘처럼 보이는 바로 가기 뒤에 숨습니다. 인터넷에 노출되지 않은 네트워크도 감염되는 이유입니다.
• 컨테이너 및 빌드 이미지. 공개 레지스트리에서 받은 베이스 이미지에 채굴 프로그램이 들어 있을 수 있고, 그러면 그 이미지로 만든 모든 환경에서 채굴합니다.
• 브라우저 탭. 다만 예전보다는 훨씬 줄었습니다. 페이지가 열려 있는 동안 채굴하는 스크립트는 가장 큰 제공업체가 2019년에 문을 닫기 전까지 하나의 산업이었습니다. 스트리밍과 다운로드 사이트에는 아직 있지만, 탭을 닫으면 멈춥니다.

쉬고 있어야 할 컴퓨터에서 보이는 징후

• 제대로 쉬지 않습니다. 아무것도 열려 있지 않은데 팬이 계속 돌고 본체가 따뜻합니다.
• 설명할 수 없는 프로세스가 있습니다. 실제 시스템 프로세스와 비슷한 이름인 경우가 많습니다. 익숙한 이름에서 글자 하나만 다른 것은 흔한 수법입니다.
• 작업 관리자를 여는 순간 사용률이 떨어지고, 닫으면 다시 올라갑니다. 이런 동작은 의도된 것이며, 그것만으로도 거의 증거가 됩니다.
• 아무도 만들지 않은 예약 작업, 서비스, 시작 프로그램 항목이 있습니다.
• 알지 못하는 호스트로 일정한 주기로 반복되는 외부 연결이 있습니다.

채굴하고 있어야 할 채굴기에서 보이는 징후

여기서 질문은 무언가가 채굴하고 있느냐가 아니라, 채굴하고 있는 것이 모두 내 것이냐입니다.

• 대시보드가 채굴기 보고치보다 꾸준히 낮고, 그 차이가 스테일 셰어로 설명되는 수준을 넘습니다.
• 채굴 프로세스를 하나만 실행했는데 두 개가 있습니다. 멀티 GPU 채굴기라면 세어 볼 가치가 있습니다.
• 시작 스크립트나 플라이트 시트에 직접 입력하지 않은 지갑 주소나 호스트가 있습니다. 훑어보지 말고 꼼꼼히 읽으세요. 중간이 바뀐 주소는 훑어보면 똑같아 보입니다.
• 카드 하나가 뜨겁게 돌아가는데 풀에서는 아무것도 만들어 내지 않습니다. 두 번째 채굴 프로그램이 한 장치에 고정되어 있을 때의 모습입니다.
• 멈췄는데도 채굴합니다. 내 채굴 프로그램을 멈춰도 컴퓨터가 조용해지지 않는다면, 다른 무언가가 실행 중입니다.

지갑 주소 바꿔치기, 전기 요금보다 큰 손실

다른 계열의 악성코드는 더 악랄하고 더 단순한 일을 합니다. 클립보드를 감시하다가 지갑 주소처럼 생긴 것을 복사하면 공격자의 주소로 바꿔 놓습니다. 이때 앞뒤 글자가 같은 주소를 골라 빠른 확인을 통과하게 만듭니다. 채굴과 전혀 상관없이 이것으로 큰돈을 잃은 사람들이 있으며, 두 가지가 함께 설치되는 경우도 많습니다.

채굴자에게는 같은 발상의 두 번째 형태가 있습니다. 시작 스크립트나 플라이트 시트 안의 주소가 한 번 바뀌면, 그 이후의 모든 지급이 다른 곳으로 갑니다. 고장 나는 것은 없습니다. 채굴기는 완벽하게 채굴합니다. 돈이 다른 지갑으로 갈 뿐이며, 보통은 지급이 왜 안 들어오는지 의아해하다가 발견합니다.

방어법은 지루하지만 효과가 있습니다. 중요한 곳에 주소를 붙여 넣은 뒤에는 앞뒤만이 아니라 주소 전체를 확인하고, 대시보드의 주소가 의도한 주소인지 확인하세요. 해시레이트는 그대로인데 지급이 멈췄다면 무엇보다 먼저 주소를 확인하세요.

순서대로 확인하기

• 두 해시레이트를 비교하세요. 채굴기 보고치와 풀 대시보드를 1분이 아니라 하루 단위로 비교합니다.
• 자신의 설정을 읽어 보세요. 모든 채굴기의 모든 지갑 주소와 모든 호스트를 한 글자씩 확인합니다.
• 채굴 프로그램을 멈추고 지켜보세요. 그 뒤에도 계속 바쁜 컴퓨터에서는 다른 무언가가 실행 중입니다.
• 자동으로 시작되는 항목을 나열하세요. Windows의 예약 작업과 서비스, Linux의 타이머와 cron, 그리고 로그인할 때 실행되는 모든 것입니다.
• 내 채굴 프로그램을 멈춘 상태에서 외부 연결을 살펴보세요. 여전히 일정한 주기로 통신하는 것은 무엇인지 밝혀 볼 가치가 있습니다.
• 믿을 만한 프로그램으로 검사하되, 깨끗하다는 결과에서 멈추지 마세요. 채굴 프로그램은 검사 프로그램이 알아보지 못할 때까지 흔히 수정됩니다. 그래서 이 단계가 처음이 아니라 마지막입니다.

제거는 파일 삭제가 아닙니다

이런 것들은 다시 돌아오도록 만들어집니다. 실행시키는 장치는 남겨 둔 채 프로그램만 지우면 몇 분을 버는 것에 불과합니다. 예약 작업, 서비스, 시작 프로그램 항목, cron 줄, 레지스트리 키를 지우고, 그다음 파일을 지운 뒤, 재부팅해서 아무것도 다시 나타나지 않는지 확인하세요.

중요한 컴퓨터, 특히 지갑이나 개인 키를 보관했던 적이 있는 컴퓨터라면 다시 설치하는 것이 정직한 선택입니다. 채굴 프로그램을 설치한 접근 권한이라면 다른 무엇이든 설치할 수 있고, 요즘 공격은 그 과정에서 자격 증명도 수집합니다. 그 컴퓨터에서 사용한 비밀번호는 다른 기기에서 바꾸세요.

깨끗하게 유지하기

실제로 이를 막아 주는 규칙은 지루하고, 채굴이 원래 낯선 사람이 만든 서명 없는 소프트웨어를 받는 일이라서 사람들이 건너뛰는 바로 그 규칙들입니다.

• 채굴 프로그램은 프로젝트의 공식 릴리스 페이지에서 받고, 공개된 체크섬을 확인하세요. 포럼 링크, 영상 설명란, 재포장된 압축 파일에서 받은 채굴 프로그램은 채굴용 컴퓨터가 감염되는 가장 흔한 경로입니다. 원래 경고가 뜰 것을 예상하고 무시했기 때문입니다.
• 채굴하거나 지갑을 보관하는 컴퓨터에서는 크랙 소프트웨어를 절대 실행하지 마세요. 절대로요. 두 습관은 섞일 수 없습니다.
• 인터넷에 노출된 것은 모두 패치하세요. 대부분의 감염은 자동화되어 있으며 버전 번호로 대상을 고릅니다.
• 지급받는 지갑은 채굴하는 컴퓨터와 분리하세요. 채굴기에는 주소만 있으면 되고, 키는 필요 없습니다.
• 채굴기를 변경한 뒤, 그리고 채굴기에 예상치 못한 일이 생긴 뒤에는 지급 주소를 확인하세요.