التعدين الخفي (Cryptojacking): حين يعدّن جهاز لحساب شخص آخر

ما هو

التعدين الخفي (cryptojacking) هو أن يشغّل أحدهم برنامج تعدين على عتاد لا يملكه ولا يدفع ثمنه. وهو ليس أمرًا نادرًا: إنه أكثر ما تفعله البرمجيات الخبيثة بجهاز بعد السيطرة عليه، لأن العائد لا يحتاج بعد ذلك إلى خداع أي ضحية لفعل أي شيء. الضحية هي الكهرباء، وفاتورتها تصل بهدوء.

والعملة هي Monero في كل الحالات تقريبًا. يمكن تعدين هذه العملة بربح على المعالجات العادية، لذا فإن بضعة آلاف من أجهزة المكاتب تستحق الاستيلاء عليها، وخصوصيتها تعني أن الأموال لا يمكن تتبعها. والبرنامج عادة هو XMRig، برنامج تعدين عادي مفتوح المصدر، بعد تغيير اسمه وإعداداته.

الجهاز الذي يعدّن لحساب شخص آخر لا يبدو مصابًا بالطريقة التي يتوقعها الناس. لا شيء يُشفَّر، ولا ملف يختفي، ولا تظهر أي فدية. إنه فقط يعمل ساخنًا، ويخفّض أداءه، ويستهلك مراوحه، ويكلّف مالًا.

لماذا يختلف الأمر عندما تعدّن أصلًا

كل مقال عام يقول الشيء نفسه: ابحث عن استهلاك مرتفع للمعالج، وعن الحرارة، وعن المراوح. على جهاز التعدين، هذه الثلاثة هي الحالة الطبيعية، لذا فإن النصيحة المعتادة لا تكشف شيئًا. كونك معدِّنًا يجعلك الأكثر تجهيزًا لاكتشاف هذا، والأسهل خداعًا.

الميزة أن لديك شيئًا لا يكاد يملكه أحد غيرك: سجلًا ثانيًا مستقلًا لما أنتجه عتادك. لوحة التحكم في المجمع تقيس على خادم شخص آخر، من عمل وصل فعلًا. إذا أبلغ جهاز التعدين عن معدل تجزئة وكانت لوحة التحكم أقل منه بشكل ملموس، بعد احتساب الحصص المتأخرة، فهناك شيء يستهلك الفرق.

كيف يدخل

لم تتغير الطرق كثيرًا، ولا يتطلب أي منها مهاجمًا متمرسًا.

• البرامج المقرصنة والمكسورة الحماية. لا تزال المصدر المنفرد الأكبر. مولّد المفاتيح (keygen) أو المثبّت المعدَّل لتطبيق مدفوع هو برنامج وافقت على تشغيله بصلاحياتك الخاصة، وبرنامج التعدين يركب معه داخل الأرشيف.
• أي شيء مكشوف على الإنترنت من دون تحديث أمني. الثغرات القديمة المعروفة على نطاق واسع في برمجيات الخوادم يُبحث عنها باستمرار، وبرنامج التعدين هو الحمولة المفضلة لأنه يحوّل إلى مال جهازًا لا يحتوي على شيء يستحق السرقة.
• USB. حملات حديثة تنسخ نفسها إلى الأقراص القابلة للإزالة وتختبئ خلف اختصار يشبه أيقونة القرص، وهكذا تُصاب حتى شبكة غير مكشوفة على الإنترنت.
• صور الحاويات والبناء (container and build images). صورة أساسية مسحوبة من سجل عام قد تحمل برنامج تعدين، فيعدّن حينها داخل كل بيئة مبنية منها.
• تبويب في المتصفح، وإن كان ذلك أقل بكثير مما كان. السكربتات التي تعدّن ما دامت الصفحة مفتوحة كانت صناعة قائمة إلى أن أغلق أكبر مزوّديها في 2019؛ ولا تزال موجودة على مواقع البث والتنزيل، لكنها تتوقف عندما يُغلق التبويب.

العلامات على جهاز يُفترض أن يكون خاملًا

• لا يخمل أبدًا فعلًا. تبقى المراوح مرتفعة ويبقى الهيكل دافئًا رغم عدم فتح أي شيء.
• عملية لا تستطيع تفسير وجودها، غالبًا باسم قريب من اسم عملية نظام حقيقية. اختلاف حرف واحد في اسم مألوف حيلة شائعة.
• استهلاك ينخفض لحظة فتحك لمدير المهام ويعود عند إغلاقه. هذا السلوك متعمّد، ويكاد يكون دليلًا بحد ذاته.
• مهمة مجدولة أو خدمة أو مدخل بدء تشغيل لم ينشئه أحد.
• اتصالات صادرة إلى مضيف لا تعرفه، تتكرر بإيقاع ثابت.

العلامات على جهاز تعدين يُفترض أن يعدّن

هنا لا يكون السؤال هل هناك شيء يعدّن، بل هل كل ما يعدّن هو لك.

• تبقى لوحة التحكم باستمرار أقل مما يبلغ عنه جهاز التعدين، بفارق يتجاوز ما تفسره الحصص المتأخرة.
• عمليتا تعدين حيث شغّلت واحدة. على جهاز تعدين متعدد GPU يستحق الأمر العدّ.
• يحتوي سكربت التشغيل أو الـ flight sheet لديك على عنوان محفظة أو مضيف لم تكتبه أنت. اقرأه بعناية ولا تكتفِ بإلقاء نظرة عليه: فالعنوان المعدَّل في منتصفه يبدو مطابقًا للأصل عند النظرة السريعة.
• بطاقة تعمل بحرارة عالية ولا تنتج شيئًا في مجمعك، وهذا بالضبط ما يبدو عليه برنامج تعدين ثانٍ مثبَّت على جهاز واحد.
• يستمر في التعدين بعد أن أوقفته. إذا لم يهدأ الجهاز بعد إيقاف برنامج التعدين الخاص بك، فهناك شيء آخر يعمل.

استبدال المحفظة، وهو أكلف من الكهرباء

هناك عائلة أخرى من البرمجيات الخبيثة تفعل شيئًا أسوأ وأبسط. فهي تراقب الحافظة، وعندما تنسخ شيئًا يشبه عنوان محفظة تستبدله بعنوان المهاجم، وتختار عنوانًا يبدأ وينتهي بالأحرف نفسها حتى يمر الفحص السريع. خسر أشخاص مبالغ كبيرة بسبب هذا دون أي علاقة بالتعدين، وغالبًا ما يُثبَّت النوعان معًا.

وبالنسبة إلى المعدِّن هناك نسخة ثانية من الفكرة نفسها: تُعاد كتابة العنوان داخل سكربت التشغيل أو الـ flight sheet مرة واحدة، فتذهب كل دفعة بعد ذلك إلى مكان آخر. لا يتعطل شيء. يعمل جهاز التعدين بشكل ممتاز. كل ما في الأمر أن المال يصل إلى محفظة مختلفة، والطريقة المعتادة التي يكتشف بها الناس ذلك هي التساؤل عن سبب عدم وصول دفعة ما.

الحماية مملة لكنها فعالة. بعد لصق عنوان في أي مكان مهم، تحقق من العنوان كاملًا لا من طرفيه فقط، وتأكد من أن العنوان الظاهر في لوحة التحكم هو الذي قصدته. إذا توقفت دفعاتك بينما لم يتوقف معدل التجزئة لديك، فتحقق من العنوان قبل أي شيء آخر.

كيف تتحقق، بالترتيب

• قارن بين قيمتَي معدل التجزئة. ما يُبلغ عنه جهاز التعدين مقابل ما تعرضه لوحة تحكم المجمع، على مدى يوم كامل لا دقيقة واحدة.
• اقرأ إعداداتك بنفسك. كل عنوان محفظة وكل مضيف، حرفًا حرفًا، على كل جهاز تعدين.
• أوقف برنامج التعدين وراقب. الجهاز الذي يبقى مشغولًا بعد ذلك يشغّل شيئًا آخر.
• اعرض ما يبدأ تلقائيًا. المهام المجدولة والخدمات على Windows، والمؤقتات وcron على Linux، إضافة إلى أي شيء يعمل عند تسجيل الدخول.
• افحص الاتصالات الصادرة بينما برنامج التعدين الخاص بك متوقف. أي شيء ما زال يتواصل بإيقاع منتظم يستحق أن تعرف ما هو.
• افحص الجهاز ببرنامج موثوق، لكن لا تتوقف عند نتيجة نظيفة. فبرامج التعدين تُعدَّل عادةً حتى لا تتعرف عليها أدوات الفحص، ولهذا تأتي هذه الخطوة أخيرًا لا أولًا.

الإزالة ليست حذف الملف

هذه البرامج مصممة لتعود. حذف البرنامج مع بقاء ما يشغّله لا يمنحك سوى بضع دقائق. أزل المهمة المجدولة والخدمة ومدخل بدء التشغيل وسطر cron ومفتاح السجل، ثم الملف، ثم أعد التشغيل وتحقق من أن شيئًا لم يعد.

على جهاز مهم، وخاصة على أي جهاز احتوى يومًا على محفظة أو مفتاح خاص، اعتبر إعادة التثبيت الكاملة هي الخيار الصادق. فالوصول نفسه الذي ثبّت برنامج تعدين يمكنه تثبيت أي شيء آخر، والحملات الحديثة تجمع بيانات الدخول في طريقها. غيّر كلمات المرور التي مرت على ذلك الجهاز، من جهاز آخر.

البقاء نظيفًا

القواعد التي تمنع هذا فعلًا مملة، وهي بالضبط ما يتجاهله الناس لأن التعدين يتطلب تنزيل برامج غير موقعة من غرباء.

• تأتي برامج التعدين من صفحة الإصدارات الخاصة بالمشروع نفسه، وتتحقق أنت من المجموع الاختباري (checksum) المنشور. برنامج التعدين القادم من رابط في منتدى أو من وصف مقطع فيديو أو من أرشيف أعيد تحزيمه هو الطريق الأرجح على الإطلاق لإصابة جهاز تعدين، تحديدًا لأنك كنت تتوقع تحذيرًا فتجاهلته.
• لا تشغّل أبدًا برامج مقرصنة على جهاز يعدّن أو يحتوي على محفظة. أبدًا. العادتان لا تجتمعان.
• حدّث كل ما هو مكشوف على الإنترنت. معظم الإصابات آلية وتختار الأجهزة حسب رقم الإصدار.
• أبقِ المحفظة التي تستلم عليها دفعاتك منفصلة عن الجهاز الذي يعدّن. جهاز التعدين يحتاج إلى عنوان فقط، لا إلى مفاتيح أبدًا.
• تحقق من عنوان الدفع بعد أي تغيير على جهاز التعدين، ومرة أخرى بعد حدوث أي شيء غير متوقع له.