کریپتوجکینگ: وقتی یک رایانه برای شخص دیگری استخراج می‌کند
بدافزار استخراج چطور وارد می‌شود، چرا صاحب دستگاه استخراج هم بهترین کاشف آن است و هم آسان‌ترین فریب‌خورده، و چطور دستگاه را درست بررسی و پاک کنید.
کریپتوجکینگ چیست؟
کریپتوجکینگ یعنی کسی یک نرم‌افزار استخراج را روی سخت‌افزاری اجرا کند که نه مال اوست و نه هزینه‌اش را می‌دهد. این اتفاق نادر نیست. رایج‌ترین کاری است که بدافزار با دستگاهی که به دست آورده انجام می‌دهد.
دلیلش ساده است: برای گرفتن درآمد، بعداً لازم نیست کسی فریب بخورد. قربانی برق است و صورت‌حسابش بی‌صدا می‌آید.
تقریباً همیشه Monero است. این ارز را می‌شود با سود روی پردازنده‌های معمولی استخراج کرد، پس چند هزار رایانه اداری ارزش تصاحب دارند. حریم خصوصی آن هم یعنی پول قابل ردیابی نیست.
برنامه معمولاً XMRig است، یک نرم‌افزار استخراج معمولی و متن‌باز. فقط نام و پیکربندی آن عوض شده است.
دستگاهی که برای کس دیگری استخراج می‌کند، آن‌طور که مردم انتظار دارند آلوده به نظر نمی‌رسد. چیزی رمزگذاری نمی‌شود، فایلی گم نمی‌شود و درخواست باجی ظاهر نمی‌شود. فقط داغ می‌شود، کند می‌شود، فن‌هایش فرسوده می‌شوند و هزینه دارد.
وقتی خودتان استخراج می‌کنید، چه فرقی دارد؟
مقاله‌های عمومی همه یک چیز می‌گویند: دنبال مصرف بالای پردازنده، گرما و صدای بلند فن باشید. روی یک دستگاه استخراج، هر سه عادی است. پس آن توصیه معمول هیچ چیزی را پیدا نمی‌کند.
ماینر بودن شما را مجهزترین فرد برای پیدا کردن این مشکل می‌کند. در عین حال، ساده‌ترین فرد برای فریب خوردن هم می‌کند.
مزیت شما یک سابقه دوم و مستقل از تولید سخت‌افزارتان است. داشبورد استخر شما روی سرور کس دیگری و از کاری که واقعاً رسیده اندازه‌گیری می‌شود.
آن را با عددی که دستگاه گزارش می‌دهد مقایسه کنید. اول شیرهای منقضی را در نظر بگیرید، یعنی شیرهایی که برای شمرده شدن دیر رسیده‌اند. اگر داشبورد باز هم خیلی پایین‌تر از دستگاه است، چیزی آن اختلاف را مصرف می‌کند.
نرم‌افزار استخراج چطور وارد یک دستگاه می‌شود؟
راه‌ها چندان تغییر نکرده‌اند. هیچ‌کدام به یک مهاجم حرفه‌ای نیاز ندارد.
- نرم‌افزارهای کرک‌شده و غیرقانونی. این هنوز بزرگ‌ترین منبع است. یک keygen یا نصب‌کننده وصله‌شده برنامه‌ای است که پذیرفته‌اید با مجوزهای خودتان اجرا کنید. نرم‌افزار استخراج داخل همان آرشیو همراهش می‌آید.
- هر چیزی که بدون وصله امنیتی در معرض اینترنت باشد. حفره‌های قدیمی و شناخته‌شده نرم‌افزارهای سرور مدام اسکن می‌شوند. نرم‌افزار استخراج محموله محبوب است، چون از دستگاهی که چیز ارزشمندی ندارد پول درمی‌آورد.
- درایوهای USB. کارزارهای اخیر خودشان را روی درایوهای جداشدنی کپی می‌کنند. پشت میان‌بری پنهان می‌شوند که شبیه آیکون درایو است. این‌طور حتی شبکه‌ای که به اینترنت وصل نیست هم آلوده می‌شود.
- ایمیج‌های کانتینر و ساخت. یک ایمیج پایه از یک رجیستری عمومی ممکن است نرم‌افزار استخراج داشته باشد. بعد در هر محیطی که از آن ساخته شود استخراج می‌کند.
- یک زبانه مرورگر، هرچند خیلی کمتر از قبل. اسکریپت‌هایی که تا باز بودن صفحه استخراج می‌کنند، تا تعطیلی بزرگ‌ترین ارائه‌دهنده در سال 2019 یک صنعت بودند. هنوز در سایت‌های پخش و دانلود هستند، اما با بستن زبانه متوقف می‌شوند.
نشانه‌ها روی دستگاهی که باید بیکار باشد چیست؟
- هیچ‌وقت واقعاً بیکار نمی‌شود. فن‌ها تند می‌چرخند و کیس با وجود هیچ برنامه بازی گرم می‌ماند.
- فرایندی که منشأش را نمی‌دانید. اغلب نامی شبیه یک فرایند واقعی سیستم دارد. تفاوت یک حرف در یک نام آشنا ترفندی رایج است.
- مصرفی که با باز کردن Task Manager پایین می‌آید و با بستنش برمی‌گردد. این رفتار عمدی است و به‌تنهایی تقریباً یک اثبات است.
- یک وظیفه زمان‌بندی‌شده، سرویس یا مورد راه‌اندازی که کسی آن را نساخته است.
- اتصال‌های خروجی به میزبانی ناآشنا که با ریتمی ثابت تکرار می‌شوند.
نشانه‌ها روی دستگاهی که باید استخراج کند چیست؟
اینجا سؤال این نیست که آیا چیزی استخراج می‌کند. سؤال این است که آیا هر چیزی که استخراج می‌کند مال شماست.
- داشبورد به‌طور پیوسته پایین‌تر از گزارش دستگاه است، بیشتر از آنچه شیرهای منقضی توضیح می‌دهند.
- دو فرایند استخراج، در حالی که شما یکی را اجرا کرده‌اید. روی دستگاهی با چند GPU شمردنش ارزش دارد.
- اسکریپت اجرا یا flight sheet شما آدرس کیف پول یا میزبانی دارد که شما ننوشته‌اید. آن را بخوانید، فقط نگاهش نکنید. آدرسی که وسطش تغییر کرده، در یک نگاه سریع یکسان دیده می‌شود.
- یک کارت داغ کار می‌کند اما در استخر شما چیزی تولید نمی‌کند. یک نرم‌افزار استخراج دوم که روی یک دستگاه قفل شده همین شکلی است.
- بعد از متوقف کردن هم استخراج می‌کند. اگر با توقف نرم‌افزار خودتان دستگاه آرام نمی‌شود، چیز دیگری در حال اجراست.
تعویض کیف پول چیست و چرا گران‌تر تمام می‌شود؟
خانواده جداگانه‌ای از بدافزارها کاری بدتر و ساده‌تر می‌کنند. کلیپ‌بورد را زیر نظر می‌گیرند. وقتی چیزی شبیه آدرس کیف پول کپی می‌کنید، آدرس مهاجم را جایش می‌گذارند.
آدرسی انتخاب می‌کنند که ابتدا و انتهایش مثل آدرس شماست. پس یک بررسی سریع آن را رد نمی‌کند. مردم بدون هیچ استخراجی از این راه مبالغ زیادی از دست داده‌اند. این دو نوع بدافزار اغلب با هم نصب می‌شوند.
ماینرها با نسخه دومی از همین ایده روبه‌رو هستند. آدرس داخل اسکریپت اجرا یا flight sheet یک بار بازنویسی می‌شود. از آن به بعد هر پرداختی به جای دیگری می‌رود.
چیزی خراب نمی‌شود و دستگاه بی‌نقص استخراج می‌کند. پول فقط به کیف پول دیگری می‌رسد. مردم معمولاً وقتی متوجه می‌شوند که می‌پرسند چرا پرداختی نیامده است.
راه دفاع کسل‌کننده است، اما جواب می‌دهد:
- بعد از چسباندن آدرس در هر جای مهمی، کل آدرس را بررسی کنید، نه فقط دو سرش را.
- مطمئن شوید آدرس روی داشبوردتان همان است که منظورتان بود.
- اگر پرداخت‌ها متوقف شد ولی هش‌ریت نه، پیش از هر چیز آدرس را بررسی کنید.
چطور یک دستگاه را قدم به قدم بررسی کنید؟
این‌ها را به همین ترتیب انجام دهید:
- دو هش‌ریت را مقایسه کنید. گزارش دستگاه را کنار داشبورد استخر بگذارید، در طول یک روز و نه یک دقیقه.
- پیکربندی خودتان را بخوانید. هر آدرس کیف پول و هر میزبان را، حرف به حرف، روی همه دستگاه‌ها بررسی کنید.
- نرم‌افزار استخراج را متوقف کنید و نگاه کنید. دستگاهی که بعد از آن مشغول بماند، چیز دیگری در حال اجرا دارد.
- فهرست چیزهایی را که خودکار اجرا می‌شوند ببینید. در Windows، وظایف زمان‌بندی‌شده و سرویس‌ها را بررسی کنید. در Linux، تایمرها و cron را. هر چیزی را که هنگام ورود اجرا می‌شود هم ببینید.
- وقتی نرم‌افزار خودتان متوقف است، اتصال‌های خروجی را نگاه کنید. هر چیزی که هنوز با ریتمی ثابت ارتباط دارد، ارزش شناسایی دارد.
- با یک ابزار معتبر اسکن کنید، اما به نتیجه پاک قانع نشوید. نرم‌افزارهای استخراج اغلب آن‌قدر تغییر داده می‌شوند که اسکنرها دیگر آن‌ها را نمی‌شناسند. برای همین این مرحله آخر است، نه اول.
چرا پاک کردن فایل کافی نیست؟
این نرم‌افزارها طوری ساخته شده‌اند که برگردند. اگر برنامه را پاک کنید ولی چیزی که آن را اجرا می‌کند بماند، فقط چند دقیقه وقت خریده‌اید.
موارد را به این ترتیب حذف کنید:
- وظیفه زمان‌بندی‌شده، سرویس، مورد راه‌اندازی، خط cron و کلید رجیستری.
- بعد خود فایل.
- بعد ری‌استارت کنید و ببینید چیزی برنگشته باشد.
برای دستگاهی که اهمیت داشت، نصب دوباره سیستم را در نظر بگیرید. این برای هر دستگاهی که کیف پول یا کلید خصوصی داشته دوچندان مهم است. همان دسترسی که نرم‌افزار استخراج را نصب کرد، می‌توانست هر چیز دیگری را هم نصب کند.
یک کارزار امروزی در مسیر خود رمزهای عبور را هم جمع کرده است. رمزهایی را که آن دستگاه دیده، از یک دستگاه دیگر عوض کنید.
چطور پاک بمانید؟
قواعد پیشگیری کسل‌کننده‌اند. مردم آن‌ها را نادیده می‌گیرند، چون استخراج یعنی دانلود نرم‌افزار امضانشده از غریبه‌ها.
- نرم‌افزار استخراج را از صفحه انتشار خود پروژه بگیرید و چک‌سام منتشرشده را بررسی کنید. نرم‌افزاری از لینک انجمن، توضیحات ویدیو یا آرشیو بسته‌بندی‌شده دوباره، محتمل‌ترین راه آلوده شدن دستگاه است. منتظر هشدار بودید، پس نادیده‌اش گرفتید.
- هرگز نرم‌افزار کرک‌شده را روی دستگاهی که استخراج می‌کند یا کیف پول دارد اجرا نکنید. هرگز. این دو عادت با هم جور نیستند.
- هر چیزی را که در معرض اینترنت است به‌روز کنید. بیشتر آلودگی‌ها خودکارند و دستگاه‌ها را بر اساس شماره نسخه انتخاب می‌کنند.
- کیف پولی را که به آن پرداخت می‌گیرید از دستگاه استخراج جدا نگه دارید. دستگاه فقط به یک آدرس نیاز دارد، هرگز به کلید.
- بعد از هر تغییر در دستگاه، آدرس پرداخت را بررسی کنید. بعد از هر اتفاق غیرمنتظره هم دوباره بررسی کنید.