Cryptojacking: เมื่อเครื่องถูกใช้ขุดให้คนอื่น

มันคืออะไร

Cryptojacking คือการที่ใครบางคนรันซอฟต์แวร์ขุดบนฮาร์ดแวร์ที่เขาไม่ได้เป็นเจ้าของหรือไม่ได้จ่ายค่าไฟ มันไม่ใช่เรื่องเฉพาะกลุ่ม: มันคือสิ่งที่มัลแวร์ทำบ่อยที่สุดเมื่อได้เครื่องมา เพราะการได้เงินไม่ต้องหลอกเหยื่อให้ทำอะไรอีกหลังจากนั้น ค่าไฟคือเหยื่อ และมันเรียกเก็บเงินอย่างเงียบๆ

เกือบทุกครั้งคือ Monero เหรียญนี้ขุดบนหน่วยประมวลผลธรรมดาแล้วยังได้กำไร คอมพิวเตอร์สำนักงานไม่กี่พันเครื่องจึงคุ้มที่จะยึด และความเป็นส่วนตัวของมันทำให้ตามรอยเงินไม่ได้ โปรแกรมที่ใช้มักเป็น XMRig ซึ่งเป็นซอฟต์แวร์ขุดโอเพนซอร์สธรรมดา เพียงเปลี่ยนชื่อและการตั้งค่า

เครื่องที่ขุดให้คนอื่นไม่ได้แสดงอาการติดมัลแวร์แบบที่คนทั่วไปคาด ไม่มีอะไรถูกเข้ารหัส ไม่มีไฟล์หาย ไม่มีการเรียกค่าไถ่ มันแค่ร้อน ลดความเร็วตัวเอง ทำให้พัดลมเสื่อมเร็ว และทำให้คุณเสียเงิน

ทำไมเรื่องนี้ต่างออกไปเมื่อคุณขุดอยู่แล้ว

บทความทั่วไปทุกบทพูดเหมือนกัน: ดูการใช้งานหน่วยประมวลผลที่สูง ดูความร้อน ดูพัดลม บน rig ทั้งสามอย่างคือสภาพปกติ คำแนะนำทั่วไปจึงตรวจจับอะไรไม่ได้เลย การเป็นนักขุดทำให้คุณพร้อมที่สุดที่จะเจอเรื่องนี้ และก็ถูกหลอกได้ง่ายที่สุดด้วย

ข้อได้เปรียบคือคุณมีสิ่งที่แทบไม่มีใครมี: บันทึกอิสระชุดที่สองว่าฮาร์ดแวร์ของคุณผลิตอะไรออกมา แดชบอร์ดพูลของคุณวัดบนเซิร์ฟเวอร์ของคนอื่นจากงานที่มาถึงจริง หาก rig รายงานแฮชเรทค่าหนึ่งแต่แดชบอร์ดต่ำกว่านั้นอย่างมีนัยสำคัญ หลังจากคิด share ที่ล้าสมัย (stale share) แล้ว แสดงว่ามีบางอย่างกินส่วนต่างนั้นไป

มันเข้ามาได้อย่างไร

ช่องทางไม่ได้เปลี่ยนไปมาก และไม่มีช่องทางไหนที่ต้องใช้ผู้โจมตีเก่งกาจ

• ซอฟต์แวร์แคร็กและซอฟต์แวร์เถื่อน ยังเป็นแหล่งใหญ่ที่สุดแหล่งเดียว keygen หรือตัวติดตั้งที่ถูกแพตช์ของโปรแกรมเสียเงินคือโปรแกรมที่คุณยอมรันด้วยสิทธิ์ของคุณเอง และซอฟต์แวร์ขุดก็ติดมาในไฟล์บีบอัดนั้น
• อะไรก็ตามที่เปิดสู่อินเทอร์เน็ตโดยไม่ได้แพตช์ ช่องโหว่เก่าที่รู้กันทั่วไปในซอฟต์แวร์เซิร์ฟเวอร์ถูกสแกนหาอยู่ตลอดเวลา และซอฟต์แวร์ขุดคือสิ่งที่นิยมฝังมากที่สุด เพราะมันหาเงินจากเครื่องที่ไม่มีอะไรมีค่าให้ขโมย
• USB แคมเปญล่าสุดคัดลอกตัวเองลงไดรฟ์แบบถอดได้ และซ่อนอยู่หลังทางลัดที่ดูเหมือนไอคอนไดรฟ์ นี่คือเหตุที่เครือข่ายที่ไม่ได้เปิดสู่อินเทอร์เน็ตก็ยังติดได้
• อิมเมจคอนเทนเนอร์และอิมเมจสำหรับบิลด์ อิมเมจพื้นฐานที่ดึงมาจาก registry สาธารณะอาจมีซอฟต์แวร์ขุดติดมา แล้วมันก็ขุดอยู่ในทุกสภาพแวดล้อมที่สร้างจากอิมเมจนั้น
• แท็บเบราว์เซอร์ แม้จะน้อยกว่าเมื่อก่อนมาก สคริปต์ที่ขุดขณะเปิดหน้าเว็บเคยเป็นทั้งอุตสาหกรรม จนผู้ให้บริการรายใหญ่ที่สุดปิดตัวในปี 2019 ทุกวันนี้ยังพบได้บนเว็บสตรีมมิงและเว็บดาวน์โหลด แต่มันหยุดเมื่อปิดแท็บ

อาการบนเครื่องที่ควรว่างอยู่

• มันไม่เคยว่างจริงๆ พัดลมหมุนแรงตลอดและเคสอุ่นอยู่ทั้งที่ไม่ได้เปิดอะไร
• โปรเซสที่คุณอธิบายไม่ได้ มักตั้งชื่อให้ใกล้เคียงกับโปรเซสของระบบจริง ตัวอักษรต่างกันเพียงตัวเดียวในชื่อที่คุ้นเคยเป็นกลเม็ดที่พบบ่อย
• การใช้งานที่ลดลงทันทีที่คุณเปิดตัวจัดการงาน และกลับขึ้นมาเมื่อคุณปิด พฤติกรรมนี้จงใจทำ และแทบเป็นหลักฐานในตัวเอง
• งานตามกำหนดเวลา บริการ หรือรายการเริ่มต้นอัตโนมัติที่ไม่มีใครสร้าง
• การเชื่อมต่อขาออกไปยังโฮสต์ที่คุณไม่รู้จัก ซ้ำเป็นจังหวะคงที่

อาการบน rig ที่ควรกำลังขุดอยู่

ในกรณีนี้คำถามไม่ใช่ว่ามีอะไรกำลังขุดอยู่หรือไม่ แต่คือทุกอย่างที่กำลังขุดเป็นของคุณหรือไม่

• แดชบอร์ดต่ำกว่าที่ rig รายงานอย่างสม่ำเสมอ เกินกว่าที่ share ที่ล้าสมัยจะอธิบายได้
• มีโปรเซสขุดสองตัวทั้งที่คุณเริ่มแค่ตัวเดียว บน rig หลาย GPU ควรนับดู
• สคริปต์เริ่มต้นหรือ flight sheet ของคุณมีที่อยู่กระเป๋าเงินหรือโฮสต์ที่คุณไม่ได้พิมพ์ อ่านมัน อย่าแค่เหลือบดู: ที่อยู่ที่ถูกแก้ตรงกลางดูเหมือนเดิมทุกประการเมื่อมองผ่านๆ
• การ์ดใบหนึ่งร้อนแต่ไม่ได้ผลิตอะไรบนพูลของคุณ ซึ่งคือลักษณะของซอฟต์แวร์ขุดตัวที่สองที่ผูกไว้กับอุปกรณ์เดียว
• มันขุดอยู่ทั้งที่คุณหยุดแล้ว หากหยุดซอฟต์แวร์ขุดของคุณแล้วเครื่องยังไม่เงียบ แสดงว่ามีอย่างอื่นรันอยู่

การสลับกระเป๋าเงิน ซึ่งเสียหายมากกว่าค่าไฟ

มัลแวร์อีกตระกูลหนึ่งทำสิ่งที่แย่กว่าและง่ายกว่า มันเฝ้าดูคลิปบอร์ด และเมื่อคุณคัดลอกอะไรที่หน้าตาเหมือนที่อยู่กระเป๋าเงิน มันจะแทนที่ด้วยที่อยู่ของผู้โจมตี โดยเลือกที่อยู่ที่ขึ้นต้นและลงท้ายด้วยตัวอักษรเดียวกันเพื่อให้การตรวจแบบเร็วๆ ผ่าน มีคนเสียเงินจำนวนมากไปกับสิ่งนี้โดยไม่เกี่ยวกับการขุดเลย และทั้งสองอย่างมักถูกติดตั้งมาด้วยกัน

สำหรับนักขุดมีแนวคิดเดียวกันอีกรูปแบบหนึ่ง: ที่อยู่ในสคริปต์เริ่มต้นหรือ flight sheet ถูกเขียนทับครั้งเดียว แล้วการจ่ายเงินทุกครั้งหลังจากนั้นก็ไปที่อื่น ไม่มีอะไรพัง rig ขุดได้สมบูรณ์แบบ เงินแค่ไปถึงกระเป๋าเงินอีกใบ และวิธีที่คนมักค้นพบคือสงสัยว่าทำไมการจ่ายเงินไม่มาเสียที

วิธีป้องกันน่าเบื่อแต่ได้ผล หลังวางที่อยู่ในที่ที่สำคัญ ให้ตรวจทั้งหมด ไม่ใช่แค่หัวท้าย และยืนยันว่าที่อยู่บนแดชบอร์ดของคุณคือที่อยู่ที่คุณตั้งใจ หากการจ่ายเงินของคุณหยุดแต่แฮชเรทไม่หยุด ให้ตรวจที่อยู่ก่อนอย่างอื่น

ตรวจสอบอย่างไร ตามลำดับ

• เทียบแฮชเรททั้งสองค่า ค่าที่ rig รายงานกับแดชบอร์ดพูลตลอดหนึ่งวัน ไม่ใช่หนึ่งนาที
• อ่านการตั้งค่าของคุณเอง ทุกที่อยู่กระเป๋าเงินและทุกโฮสต์ ทีละตัวอักษร บนทุก rig
• หยุดซอฟต์แวร์ขุดของคุณแล้วสังเกต เครื่องที่ยังทำงานหนักหลังจากนั้นมีอย่างอื่นรันอยู่
• ดูรายการสิ่งที่เริ่มเอง งานตามกำหนดเวลาและบริการบน Windows, timer และ cron บน Linux รวมถึงทุกอย่างที่รันตอนล็อกอิน
• ดูการเชื่อมต่อขาออกขณะที่ซอฟต์แวร์ขุดของคุณหยุดอยู่ อะไรที่ยังสื่อสารเป็นจังหวะอยู่ควรหาให้ได้ว่าคืออะไร
• สแกนด้วยโปรแกรมที่น่าเชื่อถือ แต่อย่าหยุดแค่ผลที่สะอาด ซอฟต์แวร์ขุดมักถูกดัดแปลงจนตัวสแกนจำไม่ได้ ขั้นนี้จึงอยู่ท้ายสุด ไม่ใช่แรกสุด

การกำจัดไม่ใช่แค่การลบไฟล์

สิ่งเหล่านี้ถูกสร้างมาให้กลับมาได้ การลบโปรแกรมขณะที่ตัวที่เริ่มมันยังอยู่ซื้อเวลาได้แค่ไม่กี่นาที ลบงานตามกำหนดเวลา บริการ รายการเริ่มต้นอัตโนมัติ บรรทัด cron และคีย์ registry ก่อน แล้วจึงลบไฟล์ จากนั้นรีบูตและตรวจว่าไม่มีอะไรกลับมา

บนเครื่องที่สำคัญ และโดยเฉพาะเครื่องที่เคยเก็บกระเป๋าเงินหรือคีย์ส่วนตัว ให้ถือว่าการติดตั้งใหม่ทั้งหมดคือทางเลือกที่ตรงไปตรงมา การเข้าถึงแบบเดียวกับที่ติดตั้งซอฟต์แวร์ขุดได้ก็ติดตั้งอย่างอื่นได้ และแคมเปญสมัยใหม่ก็เก็บข้อมูลล็อกอินไประหว่างทางแล้ว เปลี่ยนรหัสผ่านทุกอันที่เครื่องนั้นเคยเห็น จากอุปกรณ์อื่น

รักษาความสะอาด

กฎที่ป้องกันเรื่องนี้ได้จริงนั้นน่าเบื่อ และเป็นกฎที่คนข้ามไป เพราะการขุดต้องดาวน์โหลดซอฟต์แวร์ที่ไม่ได้ลงนามจากคนแปลกหน้า

• ซอฟต์แวร์ขุดต้องมาจากหน้ารีลีสของโปรเจกต์เอง และคุณตรวจ checksum ที่เผยแพร่ไว้ ซอฟต์แวร์ขุดจากลิงก์ในฟอรัม คำอธิบายใต้วิดีโอ หรือไฟล์บีบอัดที่ถูกแพ็กใหม่ คือช่องทางที่เป็นไปได้มากที่สุดที่เครื่องขุดจะติดมัลแวร์ เพราะคุณคาดไว้อยู่แล้วว่าจะมีคำเตือนและกดข้ามมันไป
• ห้ามรันซอฟต์แวร์แคร็กบนเครื่องที่ขุดหรือเก็บกระเป๋าเงิน ไม่ว่ากรณีใด สองนิสัยนี้ไปด้วยกันไม่ได้
• แพตช์ทุกอย่างที่เปิดสู่อินเทอร์เน็ต การติดมัลแวร์ส่วนใหญ่เป็นแบบอัตโนมัติและเลือกเครื่องจากหมายเลขเวอร์ชัน
• แยกกระเป๋าเงินที่รับการจ่ายเงินออกจากเครื่องที่ขุด rig ต้องการแค่ที่อยู่ ไม่เคยต้องการคีย์
• ตรวจที่อยู่สำหรับรับการจ่ายเงินของคุณหลังเปลี่ยนอะไรก็ตามบน rig และตรวจอีกครั้งหลังเกิดเรื่องที่ไม่คาดคิดกับมัน