Cryptojacking: เมื่อเครื่องถูกใช้ขุดให้คนอื่น

cryptojacking คืออะไร

cryptojacking คือการที่ใครบางคนรันซอฟต์แวร์ขุดบนฮาร์ดแวร์ที่เขาไม่ได้เป็นเจ้าของหรือจ่ายเงินเอง เรื่องนี้ไม่ได้หายาก มันคือสิ่งที่มัลแวร์ทำบ่อยที่สุดเมื่อได้เครื่องมาแล้ว

เหตุผลง่ายมาก เงินที่ได้ไม่ต้องหลอกเหยื่อให้ทำอะไรต่ออีก ผู้เสียหายคือค่าไฟ และบิลก็มาแบบเงียบๆ

เกือบทุกครั้งเป็น Monero เหรียญนี้ขุดบนโปรเซสเซอร์ธรรมดาได้กำไร ดังนั้นเดสก์ท็อปในสำนักงานสักไม่กี่พันเครื่องก็คุ้มที่จะยึด ความเป็นส่วนตัวของมันยังทำให้ตามรอยเงินไม่ได้ด้วย

โปรแกรมมักเป็น XMRig ซึ่งเป็นซอฟต์แวร์ขุดโอเพนซอร์สธรรมดา มีแค่ชื่อและการตั้งค่าที่ถูกเปลี่ยน

เครื่องที่ขุดให้คนอื่นไม่ได้ดูติดเชื้อแบบที่คนทั่วไปคิด ไม่มีอะไรถูกเข้ารหัส ไม่มีไฟล์หาย ไม่มีการเรียกค่าไถ่ มันแค่ร้อน ช้าลง ทำให้พัดลมสึก และทำให้เสียเงิน

ทำไมจึงต่างออกไปเมื่อคุณขุดอยู่แล้ว

บทความทั่วไปพูดเหมือนกันหมด คือให้ดูการใช้โปรเซสเซอร์สูง ความร้อน และพัดลมเสียงดัง บน rig ทั้งสามอย่างเป็นเรื่องปกติ คำแนะนำทั่วไปจึงจับอะไรไม่ได้เลย

การเป็นนักขุดทำให้คุณพร้อมที่สุดที่จะเจอเรื่องนี้ แต่ก็ทำให้คุณถูกหลอกง่ายที่สุดด้วย

ข้อได้เปรียบของคุณคือมีบันทึกชุดที่สองที่เป็นอิสระว่าฮาร์ดแวร์ของคุณผลิตอะไรได้ แดชบอร์ดพูลของคุณวัดบนเซิร์ฟเวอร์ของคนอื่น จากงานที่มาถึงจริง

เทียบมันกับสิ่งที่ rig รายงาน ก่อนอื่นให้เผื่อ share ที่ล้าสมัย ไว้ ซึ่งคือ share ที่มาถึงช้าเกินกว่าจะนับได้ ถ้าแดชบอร์ดยังต่ำกว่า rig มาก แปลว่ามีบางอย่างกินส่วนต่างนั้นไป

ซอฟต์แวร์ขุดเข้ามาในเครื่องได้อย่างไร

ช่องทางไม่ได้เปลี่ยนไปมากนัก ไม่มีช่องทางไหนที่ต้องใช้ผู้โจมตีเก่งกาจ

• ซอฟต์แวร์แคร็กและซอฟต์แวร์เถื่อน นี่ยังเป็นแหล่งเดียวที่ใหญ่ที่สุด keygen หรือตัวติดตั้งที่ถูกแพตช์คือโปรแกรมที่คุณยอมรันด้วยสิทธิ์ของคุณเอง ซอฟต์แวร์ขุดก็ติดมาในไฟล์บีบอัดนั้นด้วย
• อะไรก็ตามที่เปิดสู่อินเทอร์เน็ตโดยไม่ได้แพตช์ ช่องโหว่เก่าที่ทุกคนรู้ในซอฟต์แวร์เซิร์ฟเวอร์ถูกสแกนหาอยู่ตลอดเวลา ซอฟต์แวร์ขุดเป็นเพย์โหลดที่ชอบที่สุด เพราะทำเงินได้แม้จากเครื่องที่ไม่มีอะไรน่าขโมย
• ไดรฟ์ USB แคมเปญช่วงหลังคัดลอกตัวเองลงไดรฟ์แบบถอดได้ และซ่อนอยู่หลังชอร์ตคัตที่หน้าตาเหมือนไอคอนไดรฟ์ นี่คือเหตุที่เครือข่ายซึ่งไม่ได้เปิดสู่อินเทอร์เน็ตก็ยังติดเชื้อได้
• อิมเมจคอนเทนเนอร์และอิมเมจสำหรับบิลด์ อิมเมจฐานที่ดึงมาจาก registry สาธารณะอาจมีซอฟต์แวร์ขุดติดมา แล้วมันก็ขุดอยู่ในทุกสภาพแวดล้อมที่สร้างจากอิมเมจนั้น
• แท็บเบราว์เซอร์ แต่น้อยกว่าเดิมมาก สคริปต์ที่ขุดขณะเปิดหน้าเว็บเคยเป็นธุรกิจทั้งอุตสาหกรรม จนผู้ให้บริการรายใหญ่ที่สุดปิดตัวในปี 2019 ยังมีอยู่บนเว็บสตรีมมิงและเว็บดาวน์โหลด แต่จะหยุดเมื่อปิดแท็บ

เครื่องที่ควรว่างอยู่มีสัญญาณอะไร

• มันไม่เคยว่างจริงๆ พัดลมยังหมุนแรงและเคสยังอุ่นทั้งที่ไม่ได้เปิดอะไรไว้
• มีโปรเซสที่คุณอธิบายไม่ได้ว่ามาจากไหน มักตั้งชื่อให้ดูเหมือนโปรเซสของระบบจริงๆ การต่างกันแค่ตัวอักษรเดียวจากชื่อที่คุ้นเคยเป็นกลเม็ดที่พบบ่อย
• การใช้งานลดลงทันทีที่คุณเปิดตัวจัดการงาน และกลับมาเมื่อคุณปิดมัน พฤติกรรมนี้ตั้งใจทำ และแทบเป็นหลักฐานได้ในตัวเอง
• มีงานตามกำหนดเวลา บริการ หรือรายการเริ่มต้นระบบที่ไม่มีใครสร้าง
• มีการเชื่อมต่อขาออกไปยังโฮสต์ที่คุณไม่รู้จัก เกิดซ้ำเป็นจังหวะคงที่

rig ที่ควรกำลังขุดมีสัญญาณอะไร

ตรงนี้คำถามไม่ใช่ว่ามีอะไรกำลังขุดหรือเปล่า แต่คือทุกอย่างที่กำลังขุดเป็นของคุณหรือไม่

• แดชบอร์ดต่ำกว่าที่ rig รายงานอย่างสม่ำเสมอ มากกว่าที่ share ที่ล้าสมัย จะอธิบายได้
• มีโปรเซสขุดสองตัวทั้งที่คุณเปิดไว้ตัวเดียว บน rig ที่มีหลาย GPU ควรนับดู
• สคริปต์เริ่มต้นหรือ flight sheet ของคุณมีที่อยู่กระเป๋าเงินหรือโฮสต์ที่คุณไม่ได้พิมพ์ ให้อ่านจริงๆ อย่าแค่กวาดตา ที่อยู่ที่ถูกแก้ตรงกลางดูเหมือนเดิมทุกอย่างเมื่อมองผ่านๆ
• การ์ดใบหนึ่งร้อนแต่ไม่ได้ผลิตอะไรบนพูลของคุณ นั่นคือลักษณะของซอฟต์แวร์ขุดตัวที่สองที่ผูกไว้กับอุปกรณ์เดียว
• มันยังขุดหลังจากคุณหยุดแล้ว ถ้าหยุดซอฟต์แวร์ขุดของคุณเองแล้วเครื่องยังไม่เงียบ แปลว่ามีอย่างอื่นรันอยู่

การสลับกระเป๋าเงินคืออะไร และทำไมจึงเสียหายมากกว่า

มัลแวร์อีกตระกูลหนึ่งทำสิ่งที่แย่กว่าและง่ายกว่า มันเฝ้าดูคลิปบอร์ด เมื่อคุณคัดลอกอะไรที่หน้าตาเหมือนที่อยู่กระเป๋าเงิน มันจะสลับเป็นที่อยู่ของผู้โจมตี

มันเลือกที่อยู่ที่ขึ้นต้นและลงท้ายด้วยตัวอักษรเดียวกับของคุณ การตรวจแบบเร็วๆ จึงผ่าน มีคนเสียเงินก้อนใหญ่ด้วยวิธีนี้โดยไม่เกี่ยวกับการขุดเลย มัลแวร์สองแบบนี้มักถูกติดตั้งมาด้วยกัน

นักขุดเจอแนวคิดเดียวกันอีกรูปแบบหนึ่ง ที่อยู่ในสคริปต์เริ่มต้นหรือ flight sheet ถูกเขียนทับครั้งเดียว หลังจากนั้นการจ่ายเงินทุกครั้งก็ไปที่อื่น

ไม่มีอะไรพัง และ rig ขุดได้สมบูรณ์ เงินแค่ไปถึงกระเป๋าเงินอีกใบ คนมักรู้ตัวเมื่อสงสัยว่าทำไมการจ่ายเงินไม่มาถึง

วิธีป้องกันน่าเบื่อ แต่ได้ผล:

• หลังวางที่อยู่ในที่ที่สำคัญ ให้ตรวจทั้งหมด ไม่ใช่แค่หัวกับท้าย
• ยืนยันว่าที่อยู่บนแดชบอร์ดของคุณคือที่อยู่ที่คุณตั้งใจ
• ถ้าการจ่ายเงินหยุดแต่แฮชเรทไม่หยุด ให้ตรวจที่อยู่ก่อนอย่างอื่น

ตรวจเครื่องทีละขั้นอย่างไร

ทำตามลำดับนี้:

• เทียบแฮชเรทสองค่า วางสิ่งที่ rig รายงานเทียบกับแดชบอร์ดพูล ดูทั้งวัน ไม่ใช่แค่นาทีเดียว
• อ่านการตั้งค่าของคุณเอง ตรวจที่อยู่กระเป๋าเงินทุกที่และโฮสต์ทุกตัว ทีละตัวอักษร บนทุก rig
• หยุดซอฟต์แวร์ขุดของคุณแล้วสังเกต เครื่องที่ยังทำงานหนักหลังจากนั้นมีอย่างอื่นรันอยู่
• ทำรายการสิ่งที่เปิดขึ้นเอง บน Windows ให้ดูงานตามกำหนดเวลาและบริการ บน Linux ให้ดู timer และ cron ดูสิ่งที่รันตอนล็อกอินด้วย
• ดูการเชื่อมต่อขาออกขณะที่ซอฟต์แวร์ขุดของคุณหยุดอยู่ อะไรที่ยังสื่อสารเป็นจังหวะควรระบุให้ได้ว่าคืออะไร
• สแกนด้วยโปรแกรมที่เชื่อถือได้ แต่อย่าหยุดแค่ผลที่สะอาด ซอฟต์แวร์ขุดมักถูกดัดแปลงจนสแกนเนอร์จำไม่ได้ นี่คือเหตุที่ขั้นนี้อยู่ท้ายสุด ไม่ใช่แรกสุด

ทำไมแค่ลบไฟล์จึงไม่พอ

ซอฟต์แวร์ขุดพวกนี้ถูกสร้างมาให้กลับมาได้ การลบโปรแกรมทั้งที่ตัวที่เปิดมันยังอยู่ ช่วยได้แค่ไม่กี่นาที

ลบสิ่งต่างๆ ตามลำดับนี้:

• งานตามกำหนดเวลา บริการ รายการเริ่มต้นระบบ บรรทัด cron และคีย์ในรีจิสทรี
• จากนั้นจึงลบตัวไฟล์
• จากนั้นรีบูต แล้วตรวจว่าไม่มีอะไรกลับมา

ถ้าเป็นเครื่องที่สำคัญ ลองพิจารณาติดตั้งใหม่ทั้งหมด ยิ่งเครื่องที่เคยเก็บกระเป๋าเงินหรือคีย์ส่วนตัว ยิ่งควรทำ สิทธิ์เข้าถึงเดียวกับที่ใช้ติดตั้งซอฟต์แวร์ขุด ก็ติดตั้งอะไรอย่างอื่นได้เหมือนกัน

แคมเปญสมัยใหม่ยังเก็บรหัสผ่านไประหว่างทางด้วย ให้เปลี่ยนรหัสผ่านที่เครื่องนั้นเคยเห็น โดยใช้อุปกรณ์อื่น

จะอยู่อย่างปลอดภัยได้อย่างไร

กฎที่ป้องกันเรื่องนี้น่าเบื่อ คนจึงข้ามไป เพราะการขุดหมายถึงการดาวน์โหลดซอฟต์แวร์ที่ไม่มีลายเซ็นจากคนแปลกหน้า

• เอาซอฟต์แวร์ขุดจากหน้า releases ของโปรเจกต์เอง และตรวจ checksum ที่เผยแพร่ไว้ ซอฟต์แวร์ขุดจากลิงก์ในฟอรัม คำอธิบายใต้วิดีโอ หรือไฟล์บีบอัดที่แพ็กใหม่ คือช่องทางที่ rig ติดเชื้อบ่อยที่สุด คุณคาดไว้แล้วว่าจะมีคำเตือน คุณจึงกดข้ามไป
• อย่ารันซอฟต์แวร์แคร็กบนเครื่องที่ขุดหรือเก็บกระเป๋าเงิน ไม่ว่ากรณีใด สองนิสัยนี้ไปด้วยกันไม่ได้
• แพตช์ทุกอย่างที่เปิดสู่อินเทอร์เน็ต การติดเชื้อส่วนใหญ่เป็นแบบอัตโนมัติ และเลือกเครื่องจากหมายเลขเวอร์ชัน
• แยกกระเป๋าเงินที่รับเงินออกจากเครื่องที่ขุด rig ต้องการแค่ที่อยู่ ไม่ต้องการคีย์เลย
• ตรวจที่อยู่รับเงินของคุณหลังเปลี่ยนแปลงอะไรบน rig และตรวจอีกครั้งหลังเกิดอะไรที่ไม่คาดคิดกับมัน