Криптоджекінг: коли комп'ютер майнить на когось іншого

Що таке криптоджекінг?

Криптоджекінг означає, що хтось запускає майнер на обладнанні, яке йому не належить і за яке він не платить. Це не рідкість. Це найпоширеніше, що робить шкідлива програма з машиною, коли вже її захопила.

Причина проста: щоб отримати виплату, потім не треба нікого ні на що вмовляти. Жертва тут електрика, і рахунок за неї приходить тихо.

Майже завжди це Monero. Цю монету можна вигідно майнити на звичайних процесорах, тож кілька тисяч офісних комп'ютерів варті зусиль. А її приватність не дає відстежити гроші.

Програма зазвичай XMRig, звичайний майнер із відкритим кодом. Змінено лише його назву та конфігурацію.

Машина, що майнить на когось іншого, не виглядає зараженою так, як люди очікують. Нічого не зашифровано, жоден файл не зник, вимоги викупу немає. Вона просто гріється, скидає частоти, зношує вентилятори й коштує грошей.

Чому все інакше, коли ви вже майните?

Загальні статті кажуть одне й те саме: шукайте високе навантаження процесора, нагрів і гучні вентилятори. На ригу всі три ознаки нормальні. Тож звична порада нічого не виявляє.

Те, що ви майнер, робить вас найкраще підготованою людиною, щоб це помітити. І водночас тією, кого найлегше обдурити.

Ваша перевага це другий, незалежний запис того, що виробило ваше обладнання. Панель пулу вимірюється на чужому сервері, за роботою, яка справді надійшла.

Порівняйте її з тим, що показує риг. Спершу врахуйте застарілі шари, тобто шари, що надійшли надто пізно, щоб їх зарахувати. Якщо панель усе одно помітно нижча за риг, різницю щось поглинає.

Як майнер потрапляє на машину?

Шляхи мало змінилися. Жоден із них не потребує досвідченого зловмисника.

• Зламані й піратські програми. Це досі найбільше окреме джерело. Кейген чи пропатчений інсталятор це програма, яку ви самі погодилися запустити зі своїми правами. Майнер їде всередині архіву.
• Усе, що відкрите в інтернет без оновлень. Старі, широко відомі діри в серверному ПЗ сканують постійно. Майнер тут улюблене навантаження, бо заробляє гроші на машині, де нема чого красти.
• USB-накопичувачі. Нещодавні кампанії копіюють себе на знімні диски. Вони ховаються за ярликом, схожим на значок диска. Так заражається навіть мережа без виходу в інтернет.
• Образи контейнерів і збірок. Базовий образ із публічного реєстру може містити майнер. Тоді він майнить у кожному середовищі, зібраному з цього образу.
• Вкладка браузера, хоча набагато рідше, ніж раніше. Скрипти, що майнять, поки сторінка відкрита, були цілою індустрією, доки найбільший провайдер не закрився у 2019 році. Вони досі трапляються на сайтах стрімінгу й завантажень, але зупиняються, коли вкладку закрито.

Які ознаки на машині, що мала б простоювати?

• Вона ніколи по-справжньому не простоює. Вентилятори крутяться, а корпус теплий, хоча нічого не відкрито.
• Процес, якого ви не можете пояснити. Його часто називають так, щоб він скидався на справжній системний процес. Різниця в один символ у знайомій назві поширений трюк.
• Навантаження, що падає, щойно ви відкриваєте диспетчер завдань, і повертається, коли ви його закриваєте. Така поведінка навмисна і сама по собі майже доказ.
• Заплановане завдання, служба чи запис автозапуску, які ніхто не створював.
• Вихідні з'єднання з незнайомим хостом, що повторюються у сталому ритмі.

Які ознаки на ригу, що має майнити?

Тут питання не в тому, чи щось майнить. Питання в тому, чи все, що майнить, належить вам.

• Панель стабільно показує менше, ніж повідомляє риг, і різниця більша, ніж пояснюють застарілі шари.
• Два майнінгові процеси, хоча ви запускали один. На ригу з кількома GPU їх варто порахувати.
• У вашому скрипті запуску чи flight sheet є адреса гаманця або хост, яких ви не вводили. Прочитайте його уважно, а не пробіжіть очима. Адреса, змінена посередині, з першого погляду виглядає так само.
• Карта гаряча, але нічого не дає на вашому пулі. Саме так виглядає другий майнер, прив'язаний до одного пристрою.
• Вона майнить після того, як ви її зупинили. Якщо після зупинки вашого майнера машина не затихає, працює щось інше.

Що таке підміна гаманця і чому вона дорожча?

Окрема родина шкідливих програм робить щось гірше й простіше. Вона стежить за буфером обміну. Коли ви копіюєте щось схоже на адресу гаманця, вона підставляє адресу зловмисника.

Вона добирає адресу, що починається й закінчується тими самими символами, що й ваша. Тому швидка перевірка проходить. Люди втрачали так великі суми без жодного майнінгу. Ці два види шкідливих програм часто встановлюються разом.

Майнери стикаються з другою версією тієї самої ідеї. Адресу в скрипті запуску чи flight sheet один раз переписують. Кожна наступна виплата йде кудись інше.

Нічого не ламається, і риг майнить бездоганно. Гроші просто приходять на інший гаманець. Зазвичай це помічають, коли дивуються, чому виплата так і не надійшла.

Захист нудний, але він працює:

• Вставивши адресу кудись, де це важливо, перевірте її повністю, а не лише кінці.
• Переконайтеся, що адреса на вашій панелі саме та, яку ви мали на увазі.
• Якщо виплати припинилися, а хешрейт ні, перш за все перевірте адресу.

Як перевірити машину крок за кроком?

Пройдіть ці кроки по порядку:

• Порівняйте два хешрейти. Зіставте те, що показує риг, із панеллю пулу за добу, а не за хвилину.
• Прочитайте власну конфігурацію. Перевірте кожну адресу гаманця й кожен хост, символ за символом, на кожному ригу.
• Зупиніть майнер і спостерігайте. Якщо машина й далі зайнята, на ній працює щось інше.
• Перелічіть, що запускається само. У Windows перевірте заплановані завдання й служби. У Linux перевірте таймери й cron. Перевірте й те, що запускається під час входу в систему.
• Подивіться на вихідні з'єднання, поки ваш майнер зупинено. Усе, що досі зв'язується в ритмі, варто з'ясувати.
• Проскануйте надійним засобом, але не зупиняйтеся на чистому результаті. Майнери часто змінюють, доки сканери перестають їх розпізнавати. Тому цей крок останній, а не перший.

Чому видалити файл недостатньо?

Ці майнери створені, щоб повертатися. Якщо видалити програму, але залишити те, що її запускає, ви виграєте лише кілька хвилин.

Видаляйте в такому порядку:

• Заплановане завдання, службу, запис автозапуску, рядок cron і ключ реєстру.
• Потім сам файл.
• Потім перезавантажте машину й перевірте, що нічого не повернулося.

Подумайте про перевстановлення системи на важливій машині. Удвічі це стосується будь-якої машини, де зберігався гаманець чи приватний ключ. Той самий доступ, що встановив майнер, міг установити що завгодно інше.

Сучасна кампанія також мимохідь збере паролі. Змініть паролі, які бачила ця машина, з іншого пристрою.

Як залишатися чистим?

Правила, що цьому запобігають, нудні. Люди їх пропускають, бо майнінг означає завантаження непідписаних програм від незнайомців.

• Беріть майнери зі сторінки релізів самого проєкту й перевіряйте опубліковану контрольну суму. Майнер із посилання на форумі, з опису відео чи з перепакованого архіву найімовірніший шлях зараження рига. Ви очікували попередження, тож відмахнулися від нього.
• Ніколи не запускайте зламані програми на машині, що майнить або зберігає гаманець. Ніколи. Ці дві звички несумісні.
• Оновлюйте все, що відкрите в інтернет. Більшість заражень автоматизовані й обирають машини за номером версії.
• Тримайте гаманець, на який вам платять, окремо від машини, що майнить. Ригу потрібна лише адреса, ключі йому не потрібні ніколи.
• Перевіряйте адресу виплат після будь-якої зміни на ригу. Перевірте її знову після будь-якої несподіванки з ним.