קריפטוג׳קינג: כשמחשב כורה עבור מישהו אחר

מה זה קריפטו-ג׳קינג (Cryptojacking)?

קריפטו-ג׳קינג הוא מצב שבו מישהו מריץ תוכנת כרייה על חומרה שאינה שלו ושהוא לא משלם עליה. זה לא נדיר. זה הדבר הנפוץ ביותר שתוכנה זדונית עושה עם מחשב אחרי שהשתלטה עליו.

הסיבה פשוטה: הרווח לא דורש לרמות את הקורבן בשום דבר אחר כך. החשמל הוא הקורבן, והחשבון שלו מגיע בשקט.

כמעט תמיד מדובר ב-Monero. את המטבע הזה אפשר לכרות ברווח על מעבדים רגילים, ולכן כמה אלפי מחשבים משרדיים שווים משהו. הפרטיות שלו גם אומרת שאי אפשר לעקוב אחרי הכסף.

התוכנה היא בדרך כלל XMRig, תוכנת כרייה רגילה בקוד פתוח. רק השם וההגדרות שלה משתנים.

מחשב שכורה בשביל מישהו אחר לא נראה נגוע כמו שאנשים מצפים. שום דבר לא מוצפן, שום קובץ לא חסר, ושום דרישת כופר לא מופיעה. הוא פשוט מתחמם, מאט את עצמו, שוחק את המאווררים ועולה כסף.

למה זה שונה כשאתם כבר כורים?

מאמרים כלליים אומרים כולם אותו דבר: חפשו שימוש גבוה במעבד, חום ומאווררים רועשים. במתקן כרייה שלושתם רגילים. לכן העצה הרגילה לא מגלה כלום.

העובדה שאתם כורים הופכת אתכם למצוידים ביותר לגלות את זה. היא גם הופכת אתכם לקלים ביותר לרמות.

היתרון שלכם הוא תיעוד שני ועצמאי של מה שהחומרה שלכם הפיקה. לוח הבקרה של הבריכה נמדד על שרת של מישהו אחר, מעבודה שבאמת הגיעה.

השוו אותו למה שהמתקן מדווח. קודם קחו בחשבון מניות מיושנות, כלומר מניות שהגיעו מאוחר מדי כדי להיספר. אם לוח הבקרה עדיין נמוך בהרבה מהמתקן, משהו צורך את ההפרש.

איך תוכנת כרייה מגיעה למחשב?

הדרכים לא השתנו הרבה. אף אחת מהן לא דורשת תוקף מתוחכם.

• תוכנות פרוצות ומועתקות. זה עדיין המקור הבודד הגדול ביותר. מחולל מפתחות או מתקין ששונה הוא תוכנה שהסכמתם להריץ עם ההרשאות שלכם. תוכנת הכרייה נוסעת איתה בתוך הארכיון.
• כל דבר שחשוף לאינטרנט בלי עדכון. פרצות ישנות ומוכרות בתוכנות שרת נסרקות כל הזמן. תוכנת כרייה היא המטען המועדף, כי היא מרוויחה כסף ממחשב שאין בו שום דבר ששווה לגנוב.
• כונני USB. קמפיינים חדשים מעתיקים את עצמם לכוננים נשלפים. הם מסתתרים מאחורי קיצור דרך שנראה כמו סמל הכונן. כך נדבקת גם רשת שבכלל לא חשופה לאינטרנט.
• אימג׳ים של קונטיינרים ובנייה. אימג׳ בסיס שנמשך ממאגר ציבורי יכול לשאת תוכנת כרייה. אז היא כורה בתוך כל סביבה שנבנית ממנו.
• לשונית בדפדפן, אם כי הרבה פחות מבעבר. סקריפטים שכורים כל עוד הדף פתוח היו תעשייה שלמה עד שהספק הגדול ביותר נסגר ב-2019. הם עדיין קיימים באתרי סטרימינג והורדות, אבל נעצרים כשסוגרים את הלשונית.

מה הסימנים במחשב שאמור להיות במנוחה?

• הוא אף פעם לא באמת נח. המאווררים נשארים גבוהים והמארז נשאר חם כשאין שום דבר פתוח.
• תהליך שאין לכם הסבר עבורו. לעתים קרובות הוא נקרא כך שייראה כמו תהליך מערכת אמיתי. הבדל של תו אחד בשם מוכר הוא תרגיל נפוץ.
• שימוש שיורד ברגע שפותחים את מנהל המשימות וחוזר כשסוגרים אותו. ההתנהגות הזו מכוונת, והיא כמעט הוכחה בפני עצמה.
• משימה מתוזמנת, שירות או רשומת הפעלה שאף אחד לא יצר.
• חיבורים יוצאים לשרת שאתם לא מכירים, שחוזרים בקצב קבוע.

מה הסימנים במתקן שאמור לכרות?

כאן השאלה היא לא אם משהו כורה. השאלה היא אם כל מה שכורה הוא שלכם.

• לוח הבקרה נמוך ממה שהמתקן מדווח, באופן קבוע, ביותר ממה שמניות מיושנות מסבירות.
• שני תהליכי כרייה כשהופעל רק אחד. במתקן עם כמה כרטיסי GPU, כדאי לספור.
• בסקריפט ההפעלה או ב-flight sheet יש כתובת ארנק או שרת שלא אתם הקלדתם. קראו אותו, אל תעיפו בו מבט. כתובת ששונתה באמצע נראית זהה במבט חטוף.
• כרטיס מתחמם אבל לא מפיק כלום בבריכה שלכם. כך נראית תוכנת כרייה שנייה שמוצמדת להתקן אחד.
• הוא כורה אחרי שעצרתם אותו. אם עצירת תוכנת הכרייה שלכם לא משקיטה את המחשב, משהו אחר רץ.

מה זה החלפת ארנק, ולמה זה עולה יותר?

משפחה נפרדת של תוכנות זדוניות עושה משהו גרוע ופשוט יותר. היא עוקבת אחרי הלוח. כשאתם מעתיקים משהו שנראה כמו כתובת ארנק, היא מחליפה אותו בכתובת של התוקף.

היא בוחרת כתובת שמתחילה ונגמרת באותם תווים כמו שלכם. כך בדיקה מהירה עוברת. אנשים הפסידו סכומים גדולים בדרך הזו בלי שום כרייה. שני סוגי התוכנות הזדוניות מותקנים לעתים קרובות יחד.

כורים נתקלים בגרסה שנייה של אותו רעיון. הכתובת בתוך סקריפט ההפעלה או ה-flight sheet נכתבת מחדש פעם אחת. כל תשלום אחר כך הולך למקום אחר.

שום דבר לא נשבר, והמתקן כורה בצורה מושלמת. הכסף פשוט מגיע לארנק אחר. בדרך כלל מגלים את זה כשתוהים למה תשלום לא הגיע.

ההגנה משעממת, והיא עובדת:

• אחרי שמדביקים כתובת בכל מקום חשוב, בודקים את כולה, לא רק את הקצוות.
• ודאו שהכתובת בלוח הבקרה היא זו שהתכוונתם אליה.
• אם התשלומים נעצרים וקצב האש לא, בדקו את הכתובת לפני כל דבר אחר.

איך בודקים מחשב, צעד אחר צעד?

עברו על הצעדים האלה לפי הסדר:

• השוו את שני קצבי האש. שימו את מה שהמתקן מדווח מול לוח הבקרה של הבריכה, לאורך יום ולא לאורך דקה.
• קראו את ההגדרות שלכם. בדקו כל כתובת ארנק וכל שרת, תו אחר תו, בכל מתקן.
• עצרו את תוכנת הכרייה וצפו. מחשב שנשאר עסוק אחר כך מריץ משהו אחר.
• רשמו מה מופעל מעצמו. ב-Windows בדקו משימות מתוזמנות ושירותים. ב-Linux בדקו טיימרים ו-cron. בדקו גם מה רץ בכניסה למערכת.
• הסתכלו על חיבורים יוצאים כשתוכנת הכרייה שלכם עצורה. כל דבר שעדיין מתקשר בקצב קבוע שווה זיהוי.
• סרקו עם כלי בעל מוניטין, אבל אל תעצרו בתוצאה נקייה. תוכנות כרייה משונות לעתים קרובות עד שסורקים כבר לא מזהים אותן. לכן הצעד הזה אחרון ולא ראשון.

למה מחיקת הקובץ לא מספיקה?

תוכנות הכרייה האלה בנויות לחזור. מחיקת התוכנה בזמן שמה שמפעיל אותה שורד קונה כמה דקות.

הסירו דברים בסדר הזה:

• המשימה המתוזמנת, השירות, רשומת ההפעלה, שורת ה-cron ומפתח הרישום.
• אחר כך את הקובץ עצמו.
• אחר כך הפעילו מחדש, ובדקו ששום דבר לא חזר.

שקלו התקנה מחדש במחשב שחשוב לכם. זה נכון שבעתיים לכל מחשב שהחזיק ארנק או מפתח פרטי. אותה גישה שהתקינה תוכנת כרייה יכולה להתקין כל דבר אחר.

קמפיין מודרני גם אסף סיסמאות בדרך. החליפו את הסיסמאות שהמחשב הזה ראה, ממכשיר אחר.

איך נשארים נקיים?

הכללים שמונעים את זה משעממים. אנשים מדלגים עליהם כי כרייה פירושה להוריד תוכנות לא חתומות מזרים.

• הורידו תוכנות כרייה מדף הגרסאות הרשמי של הפרויקט, ובדקו את ה-checksum שפורסם. תוכנת כרייה מקישור בפורום, מתיאור סרטון או מארכיון שנארז מחדש היא הדרך הסבירה ביותר שמתקן נדבק. ציפיתם לאזהרה, אז התעלמתם ממנה.
• לעולם אל תריצו תוכנה פרוצה במחשב שכורה או שמחזיק ארנק. אף פעם. שני ההרגלים לא מסתדרים יחד.
• עדכנו כל דבר שחשוף לאינטרנט. רוב ההדבקות אוטומטיות ובוחרות מחשבים לפי מספר הגרסה.
• הפרידו בין הארנק שאליו משלמים לכם לבין המחשב שכורה. מתקן צריך רק כתובת, אף פעם לא מפתחות.
• בדקו את כתובת התשלום אחרי כל שינוי במתקן. בדקו אותה שוב אחרי כל דבר לא צפוי שקורה לו.