Cryptojacking: όταν ένα μηχάνημα κάνει mining για άλλον

Τι είναι το cryptojacking;

Cryptojacking σημαίνει ότι κάποιος τρέχει έναν miner σε hardware που δεν του ανήκει και δεν το πληρώνει. Δεν είναι σπάνιο. Είναι το πιο συνηθισμένο πράγμα που κάνει ένα malware με ένα μηχάνημα μόλις το αποκτήσει.

Ο λόγος είναι απλός: η πληρωμή δεν χρειάζεται να ξεγελαστεί κάποιο θύμα αργότερα. Το θύμα είναι το ρεύμα, και ο λογαριασμός έρχεται αθόρυβα.

Σχεδόν πάντα πρόκειται για Monero. Αυτό το νόμισμα γίνεται mining με κέρδος σε κοινούς επεξεργαστές, οπότε μερικές χιλιάδες υπολογιστές γραφείου αξίζουν τον κόπο. Η ιδιωτικότητά του σημαίνει επίσης ότι τα χρήματα δεν μπορούν να εντοπιστούν.

Το πρόγραμμα είναι συνήθως το XMRig, ένας κανονικός miner ανοιχτού κώδικα. Αλλάζουν μόνο το όνομά του και οι ρυθμίσεις του.

Ένα μηχάνημα που κάνει mining για κάποιον άλλο δεν φαίνεται μολυσμένο όπως περιμένει ο κόσμος. Τίποτα δεν κρυπτογραφείται, κανένα αρχείο δεν λείπει, κανένα λύτρο δεν εμφανίζεται. Απλώς ζεσταίνεται, ρίχνει ταχύτητα, φθείρει τους ανεμιστήρες του και κοστίζει χρήματα.

Γιατί είναι διαφορετικό όταν ήδη κάνετε mining;

Τα γενικά άρθρα λένε όλα το ίδιο: προσέξτε υψηλή χρήση επεξεργαστή, ζέστη και δυνατούς ανεμιστήρες. Σε ένα rig, και τα τρία είναι φυσιολογικά. Έτσι η συνηθισμένη συμβουλή δεν εντοπίζει τίποτα.

Επειδή κάνετε mining, είστε ο καλύτερα εξοπλισμένος για να το βρείτε. Είστε όμως και ο πιο εύκολος να ξεγελαστεί.

Το πλεονέκτημά σας είναι μια δεύτερη, ανεξάρτητη καταγραφή του τι παρήγαγε το hardware σας. Το dashboard του pool μετριέται στον server κάποιου άλλου, από δουλειά που πράγματι έφτασε.

Συγκρίνετέ το με αυτό που αναφέρει το rig. Πρώτα αφαιρέστε τα stale shares, δηλαδή shares που έφτασαν πολύ αργά για να μετρήσουν. Αν το dashboard είναι ακόμη αισθητά κάτω από το rig, κάτι καταναλώνει τη διαφορά.

Πώς φτάνει ένας miner σε ένα μηχάνημα;

Οι δρόμοι δεν έχουν αλλάξει πολύ. Κανένας τους δεν χρειάζεται έναν εξελιγμένο επιτιθέμενο.

• Σπασμένο και πειρατικό λογισμικό. Αυτή είναι ακόμη η μεγαλύτερη μεμονωμένη πηγή. Ένα keygen ή ένα πειραγμένο πρόγραμμα εγκατάστασης είναι πρόγραμμα που δεχτήκατε να τρέξετε με τα δικά σας δικαιώματα. Ο miner ταξιδεύει μαζί μέσα στο αρχείο.
• Οτιδήποτε εκτίθεται στο ίντερνετ χωρίς ενημέρωση. Παλιά, γνωστά κενά σε λογισμικό server σαρώνονται συνεχώς. Ο miner είναι το αγαπημένο φορτίο, γιατί βγάζει χρήματα από ένα μηχάνημα που δεν έχει τίποτα άξιο κλοπής.
• Στικάκια USB. Πρόσφατες εκστρατείες αντιγράφονται σε αφαιρούμενους δίσκους. Κρύβονται πίσω από μια συντόμευση που μοιάζει με το εικονίδιο του δίσκου. Έτσι μολύνεται ακόμη και ένα δίκτυο χωρίς έκθεση στο ίντερνετ.
• Images container και build. Ένα βασικό image από δημόσιο registry μπορεί να κουβαλά miner. Τότε κάνει mining μέσα σε κάθε περιβάλλον που χτίζεται από αυτό.
• Μια καρτέλα του browser, αν και πολύ λιγότερο από παλιά. Τα scripts που κάνουν mining όσο είναι ανοιχτή μια σελίδα ήταν ολόκληρη βιομηχανία, ώσπου ο μεγαλύτερος πάροχος έκλεισε το 2019. Υπάρχουν ακόμη σε ιστότοπους streaming και λήψεων, αλλά σταματούν όταν κλείσει η καρτέλα.

Ποια είναι τα σημάδια σε ένα μηχάνημα που θα έπρεπε να είναι αδρανές;

• Ποτέ δεν ηρεμεί πραγματικά. Οι ανεμιστήρες μένουν ψηλά και το κουτί μένει ζεστό χωρίς τίποτα ανοιχτό.
• Μια διεργασία που δεν μπορείτε να εξηγήσετε. Συχνά έχει όνομα που μοιάζει με πραγματική διεργασία συστήματος. Η διαφορά ενός μόνο χαρακτήρα σε ένα γνώριμο όνομα είναι συνηθισμένο κόλπο.
• Χρήση που πέφτει τη στιγμή που ανοίγετε τη διαχείριση εργασιών και επιστρέφει όταν την κλείνετε. Αυτή η συμπεριφορά είναι σκόπιμη και σχεδόν αποτελεί από μόνη της απόδειξη.
• Μια προγραμματισμένη εργασία, υπηρεσία ή καταχώριση εκκίνησης που δεν δημιούργησε κανείς.
• Εξερχόμενες συνδέσεις προς έναν host που δεν αναγνωρίζετε, που επαναλαμβάνονται με σταθερό ρυθμό.

Ποια είναι τα σημάδια σε ένα rig που θα έπρεπε να κάνει mining;

Εδώ το ερώτημα δεν είναι αν κάτι κάνει mining. Είναι αν όλα όσα κάνουν mining είναι δικά σας.

• Το dashboard μένει σταθερά κάτω από αυτό που αναφέρει το rig, περισσότερο απ' όσο εξηγούν τα stale shares.
• Δύο διεργασίες mining εκεί που ξεκινήσατε μία. Σε rig με πολλές GPU, αξίζει να τις μετρήσετε.
• Το script εκκίνησης ή το flight sheet σας περιέχει διεύθυνση πορτοφολιού ή host που δεν πληκτρολογήσατε. Διαβάστε το, μην του ρίξετε απλώς μια ματιά. Μια διεύθυνση αλλαγμένη στη μέση φαίνεται ίδια με μια ματιά.
• Μια κάρτα ζεσταίνεται αλλά δεν παράγει τίποτα στο pool σας. Έτσι μοιάζει ένας δεύτερος miner δεμένος σε μία συσκευή.
• Κάνει mining αφού το σταματήσατε. Αν η διακοπή του δικού σας miner δεν ηρεμεί το μηχάνημα, κάτι άλλο τρέχει.

Τι είναι η αλλαγή πορτοφολιού, και γιατί κοστίζει περισσότερο;

Μια ξεχωριστή οικογένεια malware κάνει κάτι χειρότερο και πιο απλό. Παρακολουθεί το πρόχειρο. Όταν αντιγράφετε κάτι που μοιάζει με διεύθυνση πορτοφολιού, βάζει στη θέση του τη διεύθυνση του επιτιθέμενου.

Διαλέγει μια διεύθυνση που αρχίζει και τελειώνει με τους ίδιους χαρακτήρες με τη δική σας. Έτσι ένας γρήγορος έλεγχος περνά. Άνθρωποι έχουν χάσει μεγάλα ποσά με αυτόν τον τρόπο χωρίς καθόλου mining. Τα δύο είδη malware εγκαθίστανται συχνά μαζί.

Οι miners αντιμετωπίζουν μια δεύτερη εκδοχή της ίδιας ιδέας. Η διεύθυνση μέσα σε ένα script εκκίνησης ή flight sheet ξαναγράφεται μία φορά. Κάθε πληρωμή από εκεί και πέρα πηγαίνει αλλού.

Τίποτα δεν χαλάει, και το rig κάνει mining τέλεια. Τα χρήματα απλώς φτάνουν σε άλλο πορτοφόλι. Συνήθως το ανακαλύπτουν όταν αναρωτιούνται γιατί μια πληρωμή δεν ήρθε ποτέ.

Η άμυνα είναι βαρετή, και λειτουργεί:

• Αφού επικολλήσετε μια διεύθυνση οπουδήποτε έχει σημασία, ελέγξτε ολόκληρη, όχι μόνο τις άκρες.
• Επιβεβαιώστε ότι η διεύθυνση στο dashboard σας είναι αυτή που εννοούσατε.
• Αν οι πληρωμές σας σταματήσουν ενώ το hashrate όχι, ελέγξτε τη διεύθυνση πριν από οτιδήποτε άλλο.

Πώς ελέγχετε ένα μηχάνημα, βήμα βήμα;

Κάντε τα παρακάτω με τη σειρά:

• Συγκρίνετε τα δύο hashrate. Βάλτε αυτό που αναφέρει το rig δίπλα στο dashboard του pool, σε διάστημα μιας μέρας και όχι ενός λεπτού.
• Διαβάστε τις δικές σας ρυθμίσεις. Ελέγξτε κάθε διεύθυνση πορτοφολιού και κάθε host, χαρακτήρα προς χαρακτήρα, σε κάθε rig.
• Σταματήστε τον miner σας και παρακολουθήστε. Ένα μηχάνημα που μένει απασχολημένο μετά τρέχει κάτι άλλο.
• Καταγράψτε ό,τι ξεκινά μόνο του. Στα Windows, ελέγξτε προγραμματισμένες εργασίες και υπηρεσίες. Στο Linux, ελέγξτε timers και cron. Ελέγξτε και ό,τι τρέχει κατά τη σύνδεση.
• Κοιτάξτε τις εξερχόμενες συνδέσεις όσο ο δικός σας miner είναι σταματημένος. Ό,τι συνεχίζει να επικοινωνεί με ρυθμό αξίζει να εντοπιστεί.
• Σαρώστε με κάτι αξιόπιστο, αλλά μη σταματήσετε σε ένα καθαρό αποτέλεσμα. Οι miners συχνά τροποποιούνται ώσπου οι σαρωτές να μην τους αναγνωρίζουν. Γι' αυτό αυτό το βήμα είναι τελευταίο, όχι πρώτο.

Γιατί δεν αρκεί να σβήσετε το αρχείο;

Αυτοί οι miners είναι φτιαγμένοι να επιστρέφουν. Αν σβήσετε το πρόγραμμα ενώ επιβιώνει ό,τι το ξεκινά, κερδίζετε λίγα λεπτά.

Αφαιρέστε τα με αυτή τη σειρά:

• Την προγραμματισμένη εργασία, την υπηρεσία, την καταχώριση εκκίνησης, τη γραμμή cron και το κλειδί μητρώου.
• Μετά το ίδιο το αρχείο.
• Μετά κάντε επανεκκίνηση και ελέγξτε ότι τίποτα δεν επέστρεψε.

Σκεφτείτε επανεγκατάσταση σε ένα μηχάνημα που είχε σημασία. Αυτό ισχύει διπλά για ό,τι έχει κρατήσει πορτοφόλι ή ιδιωτικό κλειδί. Η ίδια πρόσβαση που εγκατέστησε έναν miner θα μπορούσε να εγκαταστήσει οτιδήποτε άλλο.

Μια σύγχρονη εκστρατεία θα έχει επίσης μαζέψει κωδικούς στο πέρασμά της. Αλλάξτε τους κωδικούς που έχει δει αυτό το μηχάνημα, από άλλη συσκευή.

Πώς μένετε καθαροί;

Οι κανόνες που το αποτρέπουν είναι βαρετοί. Ο κόσμος τους παραλείπει επειδή το mining σημαίνει λήψη λογισμικού χωρίς υπογραφή από αγνώστους.

• Παίρνετε τους miners από τη σελίδα εκδόσεων του ίδιου του έργου και ελέγχετε το δημοσιευμένο checksum. Ένας miner από σύνδεσμο φόρουμ, περιγραφή βίντεο ή ξαναπακεταρισμένο αρχείο είναι ο πιο πιθανός τρόπος να μολυνθεί ένα rig. Περιμένατε μια προειδοποίηση, οπότε την αγνοήσατε.
• Ποτέ μην τρέχετε σπασμένο λογισμικό σε μηχάνημα που κάνει mining ή κρατά πορτοφόλι. Ποτέ. Οι δύο συνήθειες δεν συνδυάζονται.
• Ενημερώνετε ό,τι εκτίθεται στο ίντερνετ. Οι περισσότερες μολύνσεις είναι αυτοματοποιημένες και διαλέγουν μηχανήματα με βάση τον αριθμό έκδοσης.
• Κρατήστε το πορτοφόλι στο οποίο πληρώνεστε χωριστά από το μηχάνημα που κάνει mining. Ένα rig χρειάζεται μόνο μια διεύθυνση, ποτέ κλειδιά.
• Ελέγχετε τη διεύθυνση πληρωμής μετά από κάθε αλλαγή σε ένα rig. Ελέγξτε τη ξανά μετά από οτιδήποτε απρόσμενο του συμβεί.