التعدين الخفي (Cryptojacking): جهاز يعدّن لحساب شخص آخر

ما هو التعدين الخفي (Cryptojacking)؟

التعدين الخفي هو أن يشغّل شخص برنامج تعدين على جهاز لا يملكه ولا يدفع ثمنه. وهو ليس نادرًا. إنه أكثر ما تفعله البرمجيات الخبيثة بالجهاز بعد أن تسيطر عليه.

والسبب بسيط: الربح لا يحتاج إلى خداع الضحية بأي شيء بعد ذلك. الكهرباء هي الضحية، وفاتورتها تصل بهدوء.

وهو Monero في أغلب الأحيان تقريبًا. هذه العملة يمكن تعدينها بربح على المعالجات العادية، لذا فإن بضعة آلاف من أجهزة المكاتب لها قيمة. كما أن خصوصيتها تعني أن تتبّع المال غير ممكن.

والبرنامج عادةً هو XMRig، وهو برنامج تعدين عادي مفتوح المصدر. يُغيَّر اسمه وإعداداته فقط.

الجهاز الذي يعدّن لحساب غيرك لا يبدو مصابًا كما يتوقع الناس. لا شيء يُشفَّر، ولا ملف يختفي، ولا تظهر رسالة فدية. إنه فقط يسخن، ويخفّض أداءه، وتستهلك مراوحه، ويكلّفك المال.

لماذا يختلف الأمر عندما تكون معدِّنًا أصلًا؟

المقالات العامة تقول كلها الشيء نفسه: ابحث عن استهلاك عالٍ للمعالج وحرارة ومراوح صاخبة. وفي جهاز التعدين هذه الثلاثة طبيعية. لذا فالنصيحة المعتادة لا تكشف شيئًا.

كونك معدِّنًا يجعلك أفضل من يملك الأدوات لاكتشاف ذلك. ويجعلك أيضًا أسهل من يمكن خداعه.

ميزتك هي سجل ثانٍ مستقل لما أنتجه جهازك. لوحة تحكم المجمع تُقاس على خادم شخص آخر، من عمل وصل فعلًا.

قارنها بما يعرضه جهاز التعدين. احسب أولًا حساب الحصص المتأخرة، وهي حصص وصلت متأخرة فلم تُحتسب. إذا بقيت لوحة التحكم أدنى بكثير من الجهاز، فهناك شيء يستهلك الفرق.

كيف يصل برنامج التعدين إلى الجهاز؟

الطرق لم تتغير كثيرًا. ولا يحتاج أي منها إلى مهاجم بارع.

• البرامج المقرصنة والمكسورة. ما زالت أكبر مصدر منفرد. مولّد المفاتيح أو المثبّت المعدَّل برنامج وافقت على تشغيله بصلاحياتك أنت. وبرنامج التعدين يأتي معه داخل الأرشيف.
• أي شيء مكشوف على الإنترنت دون تحديث. الثغرات القديمة المعروفة في برامج الخوادم تُفحص طوال الوقت. وبرنامج التعدين هو الحمولة المفضلة، لأنه يربح المال من جهاز لا يحوي شيئًا يستحق السرقة.
• وحدات USB. الحملات الحديثة تنسخ نفسها إلى الأقراص القابلة للإزالة. وتختبئ خلف اختصار يشبه أيقونة القرص. هكذا تُصاب شبكة غير مكشوفة على الإنترنت أصلًا.
• صور الحاويات والبناء. الصورة الأساسية المأخوذة من سجل عام قد تحمل برنامج تعدين. وعندها يعدّن داخل كل بيئة تُبنى منها.
• علامة تبويب في المتصفح، وإن كان ذلك أقل بكثير من قبل. السكربتات التي تعدّن ما دامت الصفحة مفتوحة كانت صناعة كاملة حتى أغلق أكبر مزوّد لها في 2019. وما زالت موجودة في مواقع البث والتنزيل، لكنها تتوقف عند إغلاق علامة التبويب.

ما العلامات على جهاز يُفترض أن يكون خاملًا؟

• لا يخمل فعلًا أبدًا. تبقى المراوح مرتفعة ويبقى الهيكل دافئًا دون أي برنامج مفتوح.
• عملية لا تعرف مصدرها. كثيرًا ما تُسمّى لتشبه عملية حقيقية في النظام. واختلاف حرف واحد في اسم مألوف حيلة شائعة.
• استهلاك ينخفض لحظة فتح مدير المهام ويعود عند إغلاقه. هذا السلوك متعمّد، وهو وحده يكاد يكون دليلًا.
• مهمة مجدولة أو خدمة أو مدخل بدء تشغيل لم ينشئه أحد.
• اتصالات صادرة إلى خادم لا تعرفه، تتكرر بإيقاع ثابت.

ما العلامات على جهاز تعدين يُفترض أن يعدّن؟

هنا السؤال ليس هل يعدّن شيء ما. بل هل كل ما يعدّن هو لك.

• لوحة التحكم أدنى مما يعرضه الجهاز، باستمرار، وبأكثر مما تفسّره الحصص المتأخرة.
• عمليتا تعدين بينما شغّلت واحدة. في جهاز متعدد بطاقات GPU يستحق الأمر أن تعدّها.
• ملف التشغيل أو ورقة الإعداد (flight sheet) فيه عنوان محفظة أو خادم لم تكتبه أنت. اقرأه ولا تكتفِ بنظرة. العنوان الذي غُيّر منتصفه يبدو مطابقًا في النظرة السريعة.
• بطاقة تسخن لكنها لا تنتج شيئًا في مجمعك. هكذا يبدو برنامج تعدين ثانٍ مثبّت على جهاز واحد.
• يعدّن بعد أن أوقفته. إذا لم يهدأ الجهاز بعد إيقاف برنامج التعدين الخاص بك، فهناك شيء آخر يعمل.

ما هو تبديل المحفظة، ولماذا يكلّف أكثر؟

عائلة منفصلة من البرمجيات الخبيثة تفعل شيئًا أسوأ وأبسط. إنها تراقب الحافظة. وعندما تنسخ شيئًا يشبه عنوان محفظة، تضع مكانه عنوان المهاجم.

وتختار عنوانًا يبدأ وينتهي بالأحرف نفسها التي في عنوانك. لذا ينجح الفحص السريع. وقد خسر أناس مبالغ كبيرة بهذه الطريقة دون أي تعدين. وكثيرًا ما يُثبَّت النوعان من البرمجيات الخبيثة معًا.

ويواجه المعدِّنون نسخة ثانية من الفكرة نفسها. يُعاد كتابة العنوان داخل ملف التشغيل أو ورقة الإعداد مرة واحدة. وكل دفعة بعدها تذهب إلى مكان آخر.

لا شيء يتعطل، والجهاز يعدّن على أكمل وجه. المال ببساطة يصل إلى محفظة مختلفة. وعادةً يكتشف الناس ذلك عندما يتساءلون لماذا لم تصل دفعة ما.

الحماية مملة، لكنها تنجح:

• بعد لصق عنوان في أي مكان مهم، افحصه كله، لا طرفيه فقط.
• تأكد أن العنوان في لوحة التحكم هو الذي قصدته.
• إذا توقفت دفعاتك ولم يتوقف معدل التجزئة، فافحص العنوان قبل أي شيء آخر.

كيف تفحص الجهاز خطوة بخطوة؟

اتبع هذه الخطوات بالترتيب:

• قارن معدّلي التجزئة. ضع ما يعرضه الجهاز مقابل لوحة تحكم المجمع، على مدى يوم لا دقيقة.
• اقرأ إعداداتك بنفسك. افحص كل عنوان محفظة وكل خادم، حرفًا حرفًا، على كل جهاز.
• أوقف برنامج التعدين وراقب. الجهاز الذي يبقى مشغولًا بعدها فيه شيء آخر يعمل.
• اعرض ما يبدأ وحده. على Windows افحص المهام المجدولة والخدمات. وعلى Linux افحص المؤقتات وcron. وافحص أيضًا ما يعمل عند تسجيل الدخول.
• انظر إلى الاتصالات الصادرة وبرنامج التعدين الخاص بك متوقف. أي شيء ما زال يتصل بإيقاع منتظم يستحق أن تعرف اسمه.
• افحص ببرنامج موثوق، لكن لا تتوقف عند نتيجة نظيفة. كثيرًا ما تُعدَّل برامج التعدين حتى لا تتعرف عليها الماسحات. ولهذا تأتي هذه الخطوة أخيرة لا أولى.

لماذا لا يكفي حذف الملف؟

هذه البرامج مصممة لتعود. حذف البرنامج مع بقاء ما يشغّله يمنحك بضع دقائق فقط.

أزل الأشياء بهذا الترتيب:

• المهمة المجدولة، والخدمة، ومدخل بدء التشغيل، وسطر cron، ومفتاح السجل.
• ثم الملف نفسه.
• ثم أعد التشغيل، وتأكد أن شيئًا لم يعد.

فكّر في إعادة تثبيت كاملة على جهاز مهم. ويتضاعف ذلك لأي جهاز حمل محفظة أو مفتاحًا خاصًا. فالوصول نفسه الذي ثبّت برنامج تعدين قد يثبّت أي شيء آخر.

والحملة الحديثة تكون قد جمعت كلمات المرور في طريقها أيضًا. غيّر كلمات المرور التي مرّت على ذلك الجهاز، من جهاز آخر.

كيف تبقى نظيفًا؟

القواعد التي تمنع ذلك مملة. ويتجاهلها الناس لأن التعدين يعني تنزيل برامج غير موقّعة من غرباء.

• احصل على برامج التعدين من صفحة الإصدارات الرسمية للمشروع، وتحقق من المجموع الاختباري المنشور. برنامج التعدين القادم من رابط في منتدى أو وصف فيديو أو أرشيف معاد تجميعه هو الطريق الأرجح لإصابة الجهاز. كنت تتوقع تحذيرًا، فتجاهلته.
• لا تشغّل أبدًا برامج مقرصنة على جهاز يعدّن أو يحمل محفظة. أبدًا. العادتان لا تجتمعان.
• حدّث كل ما هو مكشوف على الإنترنت. معظم الإصابات آلية وتختار الأجهزة حسب رقم الإصدار.
• أبقِ المحفظة التي تُدفع إليها منفصلة عن الجهاز الذي يعدّن. جهاز التعدين يحتاج إلى عنوان فقط، لا إلى مفاتيح أبدًا.
• افحص عنوان الدفع بعد أي تغيير في جهاز التعدين. وافحصه مرة أخرى بعد أي شيء غير متوقع يحدث له.