Cryptojacking: bir makine başkası için madencilik yaptığında

Nedir

Cryptojacking, birinin sahibi olmadığı ya da parasını ödemediği bir donanımda madencilik yazılımı çalıştırmasıdır. Niş bir konu değildir: kötü amaçlı yazılımın ele geçirdiği bir makineyle yaptığı en yaygın şeydir, çünkü ödeme, sonrasında hiçbir kurbanın bir şeye kandırılmasını gerektirmez. Kurban elektriktir ve faturası sessizce gelir.

Neredeyse her zaman Monero'dur. Bu coin sıradan işlemcilerde kârlı şekilde kazılabilir, bu yüzden birkaç bin ofis bilgisayarı ele geçirmeye değer; gizliliği de paranın izlenememesi demektir. Program genellikle XMRig'dir: adı ve yapılandırması değiştirilmiş, sıradan, açık kaynaklı bir madencilik yazılımı.

Başkası için madencilik yapan bir makine, insanların beklediği şekilde enfekte gibi davranmaz. Hiçbir şey şifrelenmez, hiçbir dosya kaybolmaz, fidye notu çıkmaz. Makine yalnızca ısınır, yavaşlar, fanlarını yıpratır ve para harcatır.

Zaten madencilik yapıyorsanız bu neden farklıdır

Her genel makale aynı şeyi söyler: yüksek işlemci kullanımına, ısıya, fanlara bakın. Bir rig'de üçü de normal durumdur, bu yüzden olağan tavsiyeler hiçbir şey yakalamaz. Madenci olmak sizi bunu bulmak için en donanımlı kişi ve aynı zamanda en kolay kandırılan kişi yapar.

Avantajınız, neredeyse kimsede olmayan bir şeye sahip olmanızdır: donanımınızın ne ürettiğine dair ikinci, bağımsız bir kayıt. Havuz paneliniz, başka birinin sunucusunda gerçekten ulaşan işten ölçülür. Rig bir hashrate bildiriyor ve panel, bayat share'leri hesaba kattıktan sonra bile belirgin şekilde bunun altında kalıyorsa, aradaki farkı bir şey tüketiyordur.

Nasıl girer

Yollar pek değişmedi ve hiçbiri gelişmiş bir saldırgan gerektirmez.

• Kırılmış ve korsan yazılımlar. Hâlâ tek başına en büyük kaynak. Ücretli bir uygulama için bir keygen ya da yamalı bir kurulum dosyası, kendi yetkilerinizle çalıştırmayı kabul ettiğiniz bir programdır ve madencilik yazılımı arşivin içinde onunla birlikte gelir.
• İnternete açık ve yamanmamış her şey. Sunucu yazılımlarındaki eski, iyi bilinen açıklar sürekli taranır ve madencilik yazılımı tercih edilen yüktür, çünkü çalınmaya değer hiçbir şey tutmayan bir makineden bile para kazandırır.
• USB. Son kampanyalar kendilerini çıkarılabilir sürücülere kopyalar ve sürücü simgesine benzeyen bir kısayolun arkasına gizlenir; internete hiç açık olmayan bir ağ da böyle enfekte olur.
• Container ve derleme imajları. Herkese açık bir registry'den çekilen bir temel imaj bir madencilik yazılımı taşıyabilir ve o imajdan oluşturulan her ortamın içinde madencilik yapar.
• Bir tarayıcı sekmesi, ancak eskisinden çok daha az. Bir sayfa açıkken madencilik yapan script'ler, en büyük sağlayıcı 2019'da kapanana kadar başlı başına bir sektördü; yayın ve indirme sitelerinde hâlâ varlar, ancak sekme kapandığında dururlar.

Boşta olması gereken bir makinedeki belirtiler

• Hiçbir zaman gerçekten boşta kalmaz. Hiçbir şey açık değilken fanlar yüksek devirde döner ve kasa sıcak kalır.
• Açıklayamadığınız bir işlem; genellikle gerçek bir sistem işlemine yakın duracak şekilde adlandırılmıştır. Tanıdık bir addaki tek karakterlik fark yaygın bir hiledir.
• Görev yöneticisini açtığınız anda düşen ve kapattığınızda geri gelen kullanım. Bu davranış kasıtlıdır ve tek başına neredeyse kanıttır.
• Kimsenin oluşturmadığı bir zamanlanmış görev, hizmet ya da başlangıç girdisi.
• Tanımadığınız bir host'a sabit bir ritimle tekrarlanan giden bağlantılar.

Madencilik yapması gereken bir rig'deki belirtiler

Burada soru bir şeyin madencilik yapıp yapmadığı değil, madencilik yapan her şeyin size ait olup olmadığıdır.

• Panel, bayat share'lerin açıklayabileceğinden fazla olacak şekilde, sürekli olarak rig'in bildirdiği değerin altında kalır.
• Siz bir tane başlattığınız halde iki madencilik işlemi. Çoklu GPU'lu bir rig'de saymaya değer.
• Başlatma script'inizde ya da flight sheet'inizde sizin yazmadığınız bir cüzdan adresi veya host var. Göz atmayın, okuyun: ortasından değiştirilmiş bir adres bir bakışta aynı görünür.
• Bir kart ısınıyor ama havuzunuzda hiçbir şey üretmiyor; tek bir cihaza sabitlenmiş ikinci bir madencilik yazılımı böyle görünür.
• Siz durdurduğunuz halde madencilik yapıyor. Kendi madencilik yazılımınızı durdurmak makineyi sakinleştirmiyorsa başka bir şey çalışıyordur.

Elektrikten daha pahalıya patlayan cüzdan değişimi

Ayrı bir kötü amaçlı yazılım ailesi daha kötü ve daha basit bir şey yapar. Panoyu izler ve bir cüzdan adresine benzeyen bir şey kopyaladığınızda onu saldırganın adresiyle değiştirir; hızlı bir kontrolün geçmesi için aynı karakterlerle başlayıp biten bir adres seçer. İnsanlar hiçbir madencilik söz konusu olmadan buna büyük paralar kaptırdı ve ikisi çoğu zaman birlikte kurulur.

Bir madenci için aynı fikrin ikinci bir versiyonu vardır: bir başlatma script'indeki ya da flight sheet'teki adres bir kez yeniden yazılır ve sonraki her ödeme başka bir yere gider. Hiçbir şey bozulmaz. Rig kusursuz şekilde madencilik yapar. Para yalnızca farklı bir cüzdana gider ve insanlar bunu genellikle bir ödemenin neden hiç gelmediğini merak ettiklerinde fark eder.

Savunma sıkıcıdır ama işe yarar. Önemli bir yere adres yapıştırdıktan sonra yalnızca baş ve sonunu değil tamamını kontrol edin ve panelinizdeki adresin kastettiğiniz adres olduğunu doğrulayın. Hashrate'iniz durmadığı halde ödemeleriniz durduysa her şeyden önce adresi kontrol edin.

Sırasıyla nasıl kontrol edilir

• İki hashrate'i karşılaştırın. Rig'in bildirdiği değeri havuz paneliyle, bir dakika değil bir gün boyunca kıyaslayın.
• Kendi yapılandırmanızı okuyun. Her rig'deki her cüzdan adresini ve her host'u karakter karakter.
• Madencilik yazılımınızı durdurun ve izleyin. Sonrasında meşgul kalmaya devam eden bir makinede başka bir şey çalışıyordur.
• Kendiliğinden başlayanları listeleyin. Windows'ta zamanlanmış görevler ve hizmetler, Linux'ta timer'lar ve cron, ayrıca oturum açılışında çalışan her şey.
• Kendi madencilik yazılımınız durmuşken giden bağlantılara bakın. Hâlâ bir ritimle konuşan her şeyin ne olduğunu bulmaya değer.
• Saygın bir araçla tarayın, ancak temiz bir sonuçta durmayın. Madencilik yazılımları tarayıcılar artık tanımayana kadar düzenli olarak değiştirilir; bu adımın ilk değil son olmasının nedeni budur.

Temizlemek dosyayı silmek değildir

Bunlar geri gelmek için yapılmıştır. Onu başlatan şey hayatta kalırken programı silmek yalnızca birkaç dakika kazandırır. Zamanlanmış görevi, hizmeti, başlangıç girdisini, cron satırını ve kayıt defteri anahtarını, ardından dosyayı kaldırın, sonra yeniden başlatın ve hiçbir şeyin geri gelmediğini kontrol edin.

Önemli bir makinede, özellikle de bir cüzdan ya da özel anahtar tutmuş herhangi bir şeyde, sıfırdan kurulumu dürüst seçenek olarak görün. Bir madencilik yazılımını kuran erişim başka her şeyi de kurabilir ve modern bir kampanya geçerken kimlik bilgilerini de toplamış olur. O makinenin gördüğü parolaları başka bir cihazdan değiştirin.

Temiz kalmak

Bunu gerçekten önleyen kurallar sıkıcıdır ve madencilik yabancılardan imzasız yazılım indirmeyi gerektirdiği için insanların atladığı kurallar da bunlardır.

• Madencilik yazılımları projenin kendi sürüm sayfasından gelir ve yayımlanan checksum'ı kontrol edersiniz. Bir forum bağlantısından, bir video açıklamasından ya da yeniden paketlenmiş bir arşivden gelen madencilik yazılımı, bir madencilik makinesinin enfekte olmasının tek başına en olası yoludur; tam da bir uyarı beklediğiniz ve onu geçiştirdiğiniz için.
• Madencilik yapan ya da cüzdan tutan bir makinede asla kırılmış yazılım çalıştırmayın. Hiçbir zaman. Bu iki alışkanlık bir arada olmaz.
• İnternete açık her şeyi yamayın. Enfeksiyonların çoğu otomatiktir ve makineleri sürüm numarasına göre seçer.
• Ödeme aldığınız cüzdanı madencilik yapan makineden ayrı tutun. Bir rig'in yalnızca bir adrese ihtiyacı vardır, anahtarlara asla.
• Bir rig'de yapılan her değişiklikten sonra ve ona beklenmedik bir şey olduktan sonra ödeme adresinizi yeniden kontrol edin.