Криптоџекинг: када машина рудари за неког другог

Шта је криптоџекинг?

Криптоџекинг је када неко покреће програм за рударење на хардверу који не поседује и не плаћа. То није ретко. То је најчешће што малвер ради са машином када је једном преузме.

Разлог је једноставан: исплата после тога не захтева да се жртва у било шта увуче. Жртва је струја, а рачун стиже тихо.

Скоро увек је у питању Monero. Тај новчић се исплативо руда на обичним процесорима, па неколико хиљада канцеларијских рачунара вреди имати. Због његове приватности новац се не може пратити.

Програм је обично XMRig, обичан програм за рударење отвореног кода. Промењени су само његово име и конфигурација.

Машина која рудари за неког другог не изгледа заражено онако како људи очекују. Ништа није шифровано, ниједна датотека не недостаје, не стиже захтев за откуп. Само ради вруће, успорава, троши вентилаторе и кошта новац.

Зашто је другачије када већ рударите?

Општи чланци сви кажу исто: тражите велико оптерећење процесора, топлоту и гласне вентилаторе. На ригу је све троје нормално. Зато уобичајени савет ништа не открива.

Пошто сте рудар, најбоље сте опремљени да ово пронађете. Али Вас је зато и најлакше преварити.

Ваша предност је други, независан запис о томе шта је Ваш хардвер произвео. Ваша контролна табла на базену мери се на туђем серверу, из рада који је заиста стигао.

Упоредите је са оним што риг пријављује. Прво урачунајте застареле деонице, то јест деонице које су стигле прекасно да би се рачунале. Ако је контролна табла и даље знатно испод рига, нешто троши разлику.

Како програм за рударење доспева на машину?

Путеви се нису много променили. Ниједан не захтева вештог нападача.

• Крековани и пиратски софтвер. Ово је и даље највећи појединачни извор. Генератор кључева или закрпљени инсталатер је програм који сте пристали да покренете са сопственим дозволама. Програм за рударење путује унутар архиве.
• Све што је изложено интернету без закрпе. Старе, добро познате рупе у серверском софтверу стално се скенирају. Програм за рударење је омиљени терет, јер зарађује новац на машини на којој нема ничег вредног за крађу.
• USB дискови. Новије кампање копирају саме себе на преносиве дискове. Скривају се иза пречице која изгледа као икона диска. Тако се зарази и мрежа која уопште није изложена интернету.
• Слике контејнера и слике за изградњу. Основна слика преузета из јавног регистра може да носи програм за рударење. Он онда рудари у сваком окружењу изграђеном од ње.
• Картица у прегледачу, мада много ређе него раније. Скрипте које рударе док је страница отворена биле су читава индустрија док се највећи добављач није угасио 2019. И даље постоје на сајтовима за стримовање и преузимање, али се заустављају када затворите картицу.

Који су знаци на машини која би требало да мирује?

• Никада заиста не мирује. Вентилатори остају убрзани, а кућиште топло иако ништа није отворено.
• Процес који не можете објаснити. Често је назван тако да личи на прави системски процес. Разлика од једног знака у познатом имену је чест трик.
• Оптерећење које пада чим отворите менаџер задатака и враћа се када га затворите. То понашање је намерно и само по себи је скоро доказ.
• Заказани задатак, сервис или ставка при покретању коју нико није направио.
• Одлазне везе ка хосту који не препознајете, које се понављају у сталном ритму.

Који су знаци на ригу који би требало да рудари?

Овде питање није да ли нешто рудари. Питање је да ли је све што рудари Ваше.

• Контролна табла стално стоји испод онога што риг пријављује, и то више него што застареле деонице објашњавају.
• Два процеса за рударење тамо где сте покренули један. На ригу са више GPU-ова вреди их пребројати.
• Ваша стартна скрипта или flight sheet садржи адресу новчаника или хост које нисте Ви укуцали. Прочитајте их, немојте само бацити поглед. Адреса измењена у средини на први поглед изгледа исто.
• Картица ради вруће, али на Вашем базену ништа не производи. Тако изгледа други програм за рударење везан за један уређај.
• Рудари и пошто сте га зауставили. Ако машина не утихне када зауставите свој програм за рударење, ради нешто друго.

Шта је замена новчаника и зашто кошта више?

Посебна породица малвера ради нешто горе и једноставније. Прати оставу (clipboard). Када копирате нешто што изгледа као адреса новчаника, она убаци адресу нападача.

Бира адресу која почиње и завршава се истим знаковима као Ваша. Зато брза провера пролази. Људи су овако изгубили велике суме, без икаквог рударења. Ове две врсте малвера често се инсталирају заједно.

Рудари се суочавају са другом верзијом исте идеје. Адреса у стартној скрипти или flight sheet-у се једном препише. Свака исплата после тога иде негде другде.

Ништа се не квари, и риг рудари савршено. Новац само стиже у други новчаник. Људи то обично открију када се запитају зашто исплата није стигла.

Одбрана је досадна, и делује:

• Када налепите адресу негде где је то важно, проверите целу адресу, не само крајеве.
• Потврдите да је адреса на контролној табли она коју сте хтели.
• Ако исплате престану, а хеш стопа не, прво проверите адресу.

Како проверити машину, корак по корак?

Прођите кроз ово редом:

• Упоредите две хеш стопе. Ставите оно што риг пријављује поред контролне табле базена, за цео дан, а не за један минут.
• Прочитајте сопствену конфигурацију. Проверите сваку адресу новчаника и сваки хост, знак по знак, на сваком ригу.
• Зауставите свој програм за рударење и посматрајте. Машина која и после тога остане заузета има још нешто што ради.
• Набројте шта се само покреће. На Windows-у проверите заказане задатке и сервисе. На Linux-у проверите тајмере и cron. Проверите и све што се покреће при пријави.
• Погледајте одлазне везе док је Ваш програм за рударење заустављен. Све што и даље комуницира у ритму вреди идентификовати.
• Скенирајте нечим поузданим, али немојте стати на чистом резултату. Програми за рударење се често мењају док их скенери више не препознају. Зато је овај корак последњи, а не први.

Зашто брисање датотеке није довољно?

Ови програми за рударење су направљени да се врате. Ако обришете програм, а преживи оно што га покреће, добијате само неколико минута.

Уклањајте ствари овим редом:

• Заказани задатак, сервис, ставку при покретању, cron линију и кључ у регистру.
• Затим саму датотеку.
• Затим поново покрените машину и проверите да се ништа није вратило.

Размислите о поновној инсталацији на машини која је била важна. То двоструко важи за све што је држало новчаник или приватни кључ. Исти приступ који је инсталирао програм за рударење могао је да инсталира било шта друго.

Савремена кампања ће успут прикупити и лозинке. Промените лозинке које је та машина видела, са другог уређаја.

Како остати чист?

Правила која ово спречавају су досадна. Људи их прескачу јер рударење значи преузимање непотписаног софтвера од непознатих људи.

• Програме за рударење преузимајте са странице издања самог пројекта и проверите објављену контролну суму. Програм са линка на форуму, из описа видеа или из препаковане архиве најчешћи је пут којим се риг зарази. Очекивали сте упозорење, па сте га одбацили.
• Никада не покрећите крековани софтвер на машини која рудари или држи новчаник. Никада. Те две навике се не мешају.
• Закрпите све што је изложено интернету. Већина заража је аутоматизована и бира машине по броју верзије.
• Држите новчаник на који примате исплате одвојено од машине која рудари. Ригу треба само адреса, никада кључеви.
• Проверите адресу за исплату после сваке измене на ригу. Проверите је поново после сваког неочекиваног догађаја на њему.