크립토재킹: 기기가 다른 사람을 위해 채굴할 때

크립토재킹이란 무엇인가요?

크립토재킹은 누군가가 자신이 소유하지도, 비용을 내지도 않는 하드웨어에서 채굴 프로그램을 돌리는 것입니다. 드문 일이 아닙니다. 악성코드가 기기를 손에 넣은 뒤 가장 흔히 하는 일이 바로 이것입니다.

이유는 간단합니다. 돈을 벌기 위해 나중에 피해자를 속일 필요가 없습니다. 피해를 보는 것은 전기이고, 요금은 조용히 청구됩니다.

거의 언제나 Monero입니다. 이 코인은 평범한 프로세서로도 이익을 내며 채굴할 수 있어서, 사무실 데스크톱 수천 대도 가치가 있습니다. 프라이버시 기능 덕분에 돈의 흐름을 추적할 수도 없습니다.

프로그램은 보통 평범한 오픈 소스 채굴 프로그램인 XMRig입니다. 이름과 설정만 바뀌어 있습니다.

남을 위해 채굴하는 기기는 사람들이 생각하는 감염된 모습과 다릅니다. 암호화된 것도, 사라진 파일도, 몸값 요구도 없습니다. 그저 뜨겁게 돌고, 성능이 떨어지고, 팬이 닳고, 돈이 듭니다.

이미 채굴을 하고 있다면 무엇이 다른가요?

일반적인 글은 모두 똑같이 말합니다. 높은 프로세서 사용률, 발열, 시끄러운 팬을 찾으라고 합니다. 채굴기에서는 세 가지 모두 정상입니다. 그래서 흔한 조언으로는 아무것도 찾아내지 못합니다.

채굴자라는 점 덕분에 여러분은 이것을 찾아내기에 가장 좋은 위치에 있습니다. 동시에 가장 속기 쉬운 사람이기도 합니다.

여러분의 강점은 하드웨어가 만든 결과에 대한 두 번째, 독립적인 기록입니다. 풀 대시보드는 다른 사람의 서버에서, 실제로 도착한 작업을 바탕으로 측정됩니다.

이 값을 채굴기가 보고하는 값과 비교하세요. 먼저 너무 늦게 도착해 인정되지 않은 셰어, 즉 스테일 셰어를 감안하세요. 그래도 대시보드가 채굴기보다 한참 낮다면, 무언가가 그 차이를 가져가고 있습니다.

채굴 프로그램은 어떻게 기기에 들어오나요?

경로는 크게 바뀌지 않았습니다. 어느 것도 뛰어난 공격자가 필요하지 않습니다.

• 크랙 및 불법 복제 소프트웨어. 여전히 가장 큰 단일 원인입니다. 키젠이나 패치된 설치 프로그램은 여러분이 자신의 권한으로 실행하기로 한 프로그램입니다. 채굴 프로그램은 압축 파일 안에 함께 실려 옵니다.
• 패치 없이 인터넷에 노출된 모든 것. 서버 소프트웨어의 오래되고 널리 알려진 구멍은 늘 스캔됩니다. 훔칠 만한 것이 없는 기기로도 돈을 벌 수 있어서, 채굴 프로그램이 가장 인기 있는 페이로드입니다.
• USB 드라이브. 최근의 공격은 이동식 드라이브에 스스로를 복사합니다. 드라이브 아이콘처럼 보이는 바로 가기 뒤에 숨습니다. 인터넷에 노출되지 않은 네트워크도 이렇게 감염됩니다.
• 컨테이너 및 빌드 이미지. 공개 레지스트리에서 가져온 기본 이미지에 채굴 프로그램이 들어 있을 수 있습니다. 그러면 그 이미지로 만든 모든 환경 안에서 채굴합니다.
• 브라우저 탭. 다만 예전보다 훨씬 줄었습니다. 페이지가 열려 있는 동안 채굴하는 스크립트는 2019년 최대 제공업체가 문을 닫기 전까지 하나의 산업이었습니다. 스트리밍 사이트와 다운로드 사이트에는 아직 남아 있지만, 탭을 닫으면 멈춥니다.

쉬고 있어야 할 기기에서는 어떤 징후가 있나요?

• 제대로 쉬는 법이 없습니다. 아무것도 열지 않았는데 팬이 계속 돌고 케이스가 따뜻합니다.
• 설명할 수 없는 프로세스. 진짜 시스템 프로세스처럼 보이도록 이름을 붙이는 경우가 많습니다. 익숙한 이름에서 글자 하나만 다른 것은 흔한 수법입니다.
• 작업 관리자를 여는 순간 사용률이 떨어지고, 닫으면 다시 올라갑니다. 이런 동작은 의도된 것이며, 그것만으로도 증거에 가깝습니다.
• 아무도 만들지 않은 예약 작업, 서비스 또는 시작 프로그램 항목.
• 알아보지 못하는 호스트로 나가는 연결이 일정한 주기로 반복됩니다.

채굴해야 할 채굴기에서는 어떤 징후가 있나요?

여기서 질문은 무언가가 채굴하고 있는지가 아닙니다. 채굴하고 있는 모든 것이 여러분의 것인지입니다.

• 대시보드가 채굴기가 보고하는 값보다 꾸준히, 스테일 셰어로 설명되는 것 이상으로 낮습니다.
• 하나만 시작했는데 채굴 프로세스가 두 개입니다. GPU가 여러 개인 채굴기라면 세어 볼 가치가 있습니다.
• 시작 스크립트나 플라이트 시트에 직접 입력하지 않은 지갑 주소나 호스트가 있습니다. 훑어보지 말고 읽으세요. 가운데가 바뀐 주소는 언뜻 보면 똑같아 보입니다.
• 그래픽카드가 뜨겁게 도는데 풀에서는 아무것도 만들지 않습니다. 한 장치에 고정된 두 번째 채굴 프로그램이 바로 이런 모습입니다.
• 멈춘 뒤에도 채굴합니다. 자신의 채굴 프로그램을 멈춰도 기기가 조용해지지 않는다면, 다른 무언가가 돌고 있습니다.

지갑 바꿔치기란 무엇이고, 왜 더 큰 손해인가요?

다른 계열의 악성코드는 더 나쁘고 더 단순한 일을 합니다. 클립보드를 지켜봅니다. 지갑 주소처럼 생긴 것을 복사하면 공격자의 주소로 바꿔 넣습니다.

여러분의 주소와 시작과 끝 글자가 같은 주소를 고릅니다. 그래서 대충 확인하면 통과합니다. 채굴과는 아무 상관 없이 이런 식으로 큰돈을 잃은 사람들이 있습니다. 두 종류의 악성코드는 함께 설치되는 경우가 많습니다.

채굴자는 같은 아이디어의 두 번째 형태도 겪습니다. 시작 스크립트나 플라이트 시트 안의 주소가 한 번 바뀝니다. 그 뒤의 모든 지급은 다른 곳으로 갑니다.

고장 나는 것은 없고, 채굴기는 완벽하게 채굴합니다. 돈이 그저 다른 지갑에 도착할 뿐입니다. 사람들은 보통 지급이 왜 오지 않았는지 궁금해할 때 이를 알게 됩니다.

방어법은 지루하지만 효과가 있습니다.

• 중요한 곳에 주소를 붙여 넣은 뒤에는 양 끝만이 아니라 전체를 확인하세요.
• 대시보드의 주소가 의도한 주소인지 확인하세요.
• 해시레이트는 그대로인데 지급이 멈췄다면, 무엇보다 먼저 주소를 확인하세요.

기기는 어떻게 단계별로 점검하나요?

다음 순서대로 진행하세요.

• 두 해시레이트를 비교하세요. 채굴기가 보고하는 값을 풀 대시보드와 나란히 놓고, 1분이 아니라 하루 단위로 보세요.
• 자신의 설정을 읽으세요. 모든 채굴기에서 모든 지갑 주소와 모든 호스트를 한 글자씩 확인하세요.
• 채굴 프로그램을 멈추고 지켜보세요. 그 뒤에도 계속 바쁜 기기에서는 다른 무언가가 돌고 있습니다.
• 저절로 시작되는 것을 목록으로 확인하세요. Windows에서는 예약 작업과 서비스를 확인하세요. Linux에서는 타이머와 cron을 확인하세요. 로그인할 때 실행되는 것도 확인하세요.
• 자신의 채굴 프로그램을 멈춘 상태에서 나가는 연결을 보세요. 그래도 일정한 주기로 통신하는 것이 있다면 정체를 밝혀 볼 가치가 있습니다.
• 믿을 만한 도구로 검사하되, 깨끗하다는 결과에서 멈추지 마세요. 채굴 프로그램은 검사기가 알아보지 못할 때까지 수정되는 경우가 많습니다. 그래서 이 단계가 처음이 아니라 마지막입니다.

왜 파일을 지우는 것만으로는 부족한가요?

이런 채굴 프로그램은 다시 돌아오도록 만들어져 있습니다. 프로그램을 지워도 그것을 시작하는 장치가 남아 있으면 몇 분을 버는 데 그칩니다.

다음 순서대로 제거하세요.

• 예약 작업, 서비스, 시작 프로그램 항목, cron 줄, 레지스트리 키.
• 그다음 파일 자체.
• 그다음 재부팅하고, 아무것도 돌아오지 않았는지 확인하세요.

중요한 기기라면 다시 설치하는 것을 고려하세요. 지갑이나 개인 키를 담았던 기기라면 더욱 그렇습니다. 채굴 프로그램을 설치한 바로 그 접근 권한으로 다른 무엇이든 설치할 수 있었습니다.

요즘의 공격은 지나가는 길에 비밀번호도 수집합니다. 그 기기가 접했던 비밀번호를 다른 기기에서 바꾸세요.

어떻게 하면 깨끗하게 유지할 수 있나요?

이를 막는 규칙은 지루합니다. 채굴이란 낯선 사람에게서 서명되지 않은 소프트웨어를 내려받는 일이라서, 사람들은 이 규칙을 건너뜁니다.

• 채굴 프로그램은 프로젝트 자체의 릴리스 페이지에서 받고, 공개된 체크섬을 확인하세요. 포럼 링크, 동영상 설명, 다시 압축한 파일에서 받은 채굴 프로그램이 채굴기가 감염되는 가장 흔한 경로입니다. 경고가 뜰 줄 알았기 때문에 무시해 버리는 것입니다.
• 채굴하거나 지갑을 담은 기기에서는 크랙 소프트웨어를 절대 실행하지 마세요. 어떤 경우에도요. 두 습관은 함께할 수 없습니다.
• 인터넷에 노출된 모든 것을 패치하세요. 감염 대부분은 자동화되어 있고, 버전 번호로 기기를 고릅니다.
• 지급받는 지갑은 채굴하는 기기와 분리해 두세요. 채굴기에는 주소만 필요하고, 키는 절대 필요 없습니다.
• 채굴기를 바꾼 뒤에는 지급 주소를 확인하세요. 예상치 못한 일이 생긴 뒤에도 다시 확인하세요.