Cryptojacking: când un calculator minează pentru altcineva

Ce este

Cryptojacking înseamnă că cineva rulează un miner pe hardware pe care nu îl deține și pentru care nu plătește. Nu este o nișă: este cel mai obișnuit lucru pe care îl face malware-ul cu o mașină odată ce a pus mâna pe ea, pentru că plata nu mai cere ca vreo victimă să fie păcălită ulterior. Victima este electricitatea, iar factura vine în liniște.

Aproape întotdeauna este Monero. Moneda poate fi minată profitabil pe procesoare obișnuite, așa că câteva mii de desktopuri de birou merită luate, iar confidențialitatea ei face ca banii să nu poată fi urmăriți. Programul este de obicei XMRig, un miner open-source obișnuit, cu numele și configurația schimbate.

O mașină care minează pentru altcineva nu se comportă ca una infectată în felul în care se așteaptă oamenii. Nimic nu este criptat, niciun fișier nu lipsește, nu apare nicio cerere de răscumpărare. Doar se încălzește, își reduce frecvența, își uzează ventilatoarele și costă bani.

De ce este altfel când deja minați

Fiecare articol generic spune același lucru: căutați un consum mare de procesor, căutați căldură, ascultați ventilatoarele. Pe un rig, toate trei sunt starea normală, așa că sfatul obișnuit nu detectează nimic. Faptul că sunteți miner vă face persoana cea mai bine echipată să găsească asta și cea mai ușor de păcălit.

Avantajul este că aveți ceva ce aproape nimeni altcineva nu are: o a doua evidență, independentă, a ceea ce a produs hardware-ul. Dashboard-ul pool-ului este măsurat pe serverul altcuiva, din munca ce a sosit efectiv. Dacă rig-ul raportează un hashrate și dashboard-ul este semnificativ sub el, după ce ați ținut cont de stale share-uri, ceva consumă diferența.

Cum intră

Căile nu s-au schimbat prea mult și niciuna nu necesită un atacator sofisticat.

• Software piratat și crack-uit. Încă cea mai mare sursă. Un keygen sau un installer modificat pentru o aplicație cu plată este un program pe care ați acceptat să îl rulați cu propriile permisiuni, iar minerul vine odată cu el în arhivă.
• Orice expus la internet fără patch. Găurile vechi și larg cunoscute din software-ul de server sunt scanate continuu, iar un miner este încărcătura preferată pentru că face bani dintr-o mașină care nu conține nimic de furat.
• USB. Campaniile recente se copiază pe unități amovibile și se ascund în spatele unei scurtături care arată ca pictograma unității, astfel se infectează chiar și o rețea fără expunere la internet.
• Imagini de containere și de build. O imagine de bază descărcată dintr-un registry public poate conține unul, care apoi minează în fiecare mediu construit din ea.
• Un tab de browser, deși mult mai rar decât odinioară. Scripturile care minează cât timp o pagină e deschisă au fost o industrie până când cel mai mare furnizor s-a închis în 2019; încă există pe site-uri de streaming și de descărcări, dar se opresc odată cu tab-ul.

Semnele pe o mașină care ar trebui să fie inactivă

• Nu este niciodată cu adevărat inactivă. Ventilatoarele rămân turate și carcasa caldă fără nimic deschis.
• Un proces pe care nu îl puteți explica, adesea numit ca să semene cu unul real de sistem. O diferență de un singur caracter într-un nume familiar este un truc frecvent.
• Un consum care scade în clipa în care deschideți task managerul și revine când îl închideți. Acest comportament este intenționat și este aproape o dovadă în sine.
• O sarcină programată, un serviciu sau o intrare de pornire pe care nu le-a creat nimeni.
• Conexiuni de ieșire către un host pe care nu îl recunoașteți, repetate într-un ritm fix.

Semnele pe un rig care ar trebui să mineze

Aici întrebarea nu este dacă ceva minează, ci dacă tot ce minează este al dumneavoastră.

• Dashboard-ul stă constant sub ce raportează rig-ul, mai mult decât explică stale share-urile.
• Două procese de mining acolo unde ați pornit unul. Pe un rig cu mai multe GPU-uri merită numărate.
• Scriptul de pornire sau flight sheet-ul conține o adresă de wallet sau un host pe care nu le-ați tastat. Citiți-l, nu doar aruncați o privire: o adresă modificată la mijloc arată identic la prima vedere.
• O placă se încălzește și nu produce nimic în pool-ul dumneavoastră, exact cum arată un al doilea miner fixat pe un singur dispozitiv.
• Minează după ce l-ați oprit. Dacă oprirea propriului miner nu liniștește mașina, rulează altceva.

Schimbarea wallet-ului, care costă mai mult decât electricitatea

O familie separată de malware face ceva mai rău și mai simplu. Urmărește clipboard-ul, iar când copiați ceva care arată ca o adresă de wallet o înlocuiește cu cea a atacatorului, aleasă astfel încât să înceapă și să se termine cu aceleași caractere, ca o verificare rapidă să treacă. Oamenii au pierdut sume mari din cauza asta fără niciun mining la mijloc, iar cele două sunt adesea instalate împreună.

Pentru un miner există o a doua variantă a aceleiași idei: adresa dintr-un script de pornire sau dintr-un flight sheet este rescrisă o singură dată, iar fiecare plată de după aceea merge în altă parte. Nimic nu se strică. Rig-ul minează perfect. Banii pur și simplu ajung într-un alt wallet, iar oamenii descoperă de obicei asta întrebându-se de ce nu a venit o plată.

Apărarea este plictisitoare și funcționează. După ce lipiți o adresă oriunde contează, verificați-o pe toată, nu doar capetele, și confirmați că adresa de pe dashboard este cea pe care o voiați. Dacă plățile se opresc, dar hashrate-ul nu, verificați adresa înainte de orice altceva.

Cum verificați, în ordine

• Comparați cele două hashrate-uri. Cel raportat de rig cu cel din dashboard-ul pool-ului, pe o zi, nu pe un minut.
• Citiți-vă propria configurație. Fiecare adresă de wallet și fiecare host, caracter cu caracter, pe fiecare rig.
• Opriți minerul și urmăriți. O mașină care rămâne ocupată după aceea are altceva care rulează.
• Listați ce pornește singur. Sarcinile programate și serviciile pe Windows, timerele și cron pe Linux, plus tot ce rulează la autentificare.
• Uitați-vă la conexiunile de ieșire cât timp propriul miner este oprit. Orice comunică încă într-un ritm merită identificat.
• Scanați cu ceva de încredere, dar nu vă opriți la un rezultat curat. Minerii sunt modificați în mod obișnuit până când scannerele nu îi mai recunosc, motiv pentru care acest pas este ultimul, nu primul.

Eliminarea nu înseamnă ștergerea fișierului

Sunt construite să revină. Ștergerea programului, cât timp supraviețuiește ce îl pornește, aduce doar câteva minute. Eliminați sarcina programată, serviciul, intrarea de pornire, linia cron și cheia din registry, apoi fișierul, apoi reporniți și verificați că nu a revenit nimic.

Pe o mașină importantă, și mai ales pe orice a ținut un wallet sau o cheie privată, tratați reinstalarea completă ca pe opțiunea cinstită. Același acces care a instalat un miner putea instala orice altceva, iar o campanie modernă va fi colectat credențiale pe drum. Schimbați parolele pe care le-a văzut acea mașină, de pe alt dispozitiv.

Cum rămâneți curat

Regulile care chiar previn asta sunt plictisitoare și sunt exact cele pe care oamenii le sar, pentru că mining-ul implică descărcarea de software nesemnat de la străini.

• Minerii vin de pe pagina de release-uri a proiectului, iar dumneavoastră verificați checksum-ul publicat. Un miner dintr-un link de forum, dintr-o descriere de video sau dintr-o arhivă reîmpachetată este cea mai probabilă cale prin care se infectează o mașină de mining, tocmai pentru că vă așteptați la un avertisment și l-ați ignorat.
• Nu rulați niciodată software crack-uit pe o mașină care minează sau ține un wallet. Niciodată. Cele două obiceiuri nu se împacă.
• Aplicați patch-uri la tot ce este expus la internet. Majoritatea infecțiilor sunt automate și aleg mașinile după numărul versiunii.
• Țineți wallet-ul în care sunteți plătit separat de mașina care minează. Un rig are nevoie doar de o adresă, niciodată de chei.
• Verificați adresa de plată după orice schimbare la un rig și din nou după orice lucru neașteptat care i se întâmplă.