Cryptojacking: når en maskine miner for en anden

Hvad det er

Cryptojacking er, når nogen kører mining-software på hardware, de hverken ejer eller betaler for. Det er ikke et nichefænomen: det er det mest almindelige, malware gør med en maskine, når den først har fået fat i en, fordi udbyttet ikke kræver, at offeret bagefter narres til noget. Strømmen er offeret, og regningen kommer stille.

Det er næsten altid Monero. Den coin kan mines med fortjeneste på almindelige processorer, så et par tusind kontorcomputere er værd at have, og dens privatliv betyder, at pengene ikke kan spores. Programmet er som regel XMRig, en almindelig open source-mining-software, med navn og konfiguration ændret.

En maskine, der miner for en anden, opfører sig ikke inficeret på den måde, folk forventer. Intet bliver krypteret, ingen fil mangler, ingen løsesum dukker op. Den kører bare varm, drosler ned, slider på sine blæsere og koster penge.

Hvorfor det er anderledes, når du allerede miner

Alle generelle artikler siger det samme: se efter højt processorforbrug, se efter varme, se efter blæsere. På en rig er alle tre den normale tilstand, så de sædvanlige råd opdager ingenting. At være miner gør dig til den bedst rustede person til at finde det og den letteste at narre.

Fordelen er, at du har noget, næsten ingen andre har: en anden, uafhængig registrering af, hvad din hardware producerede. Din oversigt hos poolen måles på en andens server ud fra arbejde, der faktisk ankom. Hvis din rig melder en hashrate, og oversigten ligger mærkbart under den, når du har taget højde for stale shares, er der noget, der æder forskellen.

Hvordan det kommer ind

Vejene har ikke ændret sig meget, og ingen af dem kræver en avanceret angriber.

• Crackede og piratkopierede programmer. Stadig den største enkeltkilde. En keygen eller et patchet installationsprogram til et betalt program er et program, du har sagt ja til at køre med dine egne rettigheder, og mining-softwaren følger med inde i arkivet.
• Alt, der er eksponeret mod internettet uden en patch. Gamle, velkendte huller i serversoftware scannes der konstant efter, og mining-software er den foretrukne last, fordi den tjener penge på en maskine, der ikke indeholder noget, der er værd at stjæle.
• USB. Nyere kampagner kopierer sig selv over på flytbare drev og gemmer sig bag en genvej, der ligner drevets ikon, og sådan bliver et netværk uden internetadgang alligevel inficeret.
• Container- og build-images. Et base image hentet fra et offentligt registry kan indeholde en, og den miner så i hvert miljø, der bygges ud fra det.
• En browserfane, men langt mindre end før. Scripts, der miner, mens en side er åben, var en hel industri, indtil den største udbyder lukkede i 2019; de findes stadig på streaming- og download-sider, men de stopper, når fanen lukkes.

Tegnene på en maskine, der burde være i ro

• Den er aldrig rigtig i ro. Blæserne bliver ved med at køre, og kabinettet forbliver varmt, selvom intet er åbent.
• En proces, du ikke kan gøre rede for, ofte navngivet, så den ligger tæt op ad en rigtig systemproces. Ét enkelt tegns forskel i et velkendt navn er et almindeligt trick.
• Forbrug, der falder i samme øjeblik, du åbner Jobliste, og vender tilbage, når du lukker den. Den opførsel er bevidst og er næsten et bevis i sig selv.
• En planlagt opgave, en tjeneste eller en opstartspost, som ingen har oprettet.
• Udgående forbindelser til en vært, du ikke kender, som gentager sig i en fast rytme.

Tegnene på en rig, der burde mine

Her er spørgsmålet ikke, om noget miner, men om alt, der miner, er dit.

• Oversigten ligger konsekvent under det, din rig melder, ud over hvad stale shares forklarer.
• To mining-processer, hvor du startede én. På en rig med flere GPU'er er det værd at tælle efter.
• Dit startscript eller flight sheet indeholder en wallet-adresse eller en vært, som du ikke har skrevet. Læs det, kig ikke bare hurtigt: en adresse, der er ændret i midten, ser identisk ud ved et hurtigt blik.
• Et kort kører varmt og producerer intet på din pool, hvilket er sådan, en ekstra mining-software låst til én enhed ser ud.
• Den miner, når du har stoppet den. Hvis det ikke gør maskinen stille at stoppe din egen mining-software, kører der noget andet.

Wallet-ombytningen, som koster mere end strømmen

En separat familie af malware gør noget værre og enklere. Den overvåger udklipsholderen, og når du kopierer noget, der ligner en wallet-adresse, erstatter den det med angriberens og vælger en, der begynder og slutter med de samme tegn, så et hurtigt tjek går igennem. Folk har mistet store beløb til dette helt uden mining involveret, og de to installeres ofte sammen.

For en miner findes der en anden udgave af samme idé: adressen inde i et startscript eller et flight sheet omskrives én gang, og hver udbetaling derefter går et andet sted hen. Intet går i stykker. Din rig miner perfekt. Pengene ankommer bare til en anden wallet, og den sædvanlige måde, folk opdager det på, er ved at undre sig over, hvorfor en udbetaling aldrig kom.

Forsvaret er kedeligt og virker. Når du har indsat en adresse et sted, hvor det betyder noget, så tjek det hele i stedet for kun enderne, og bekræft, at adressen på din oversigt er den, du mente. Hvis dine udbetalinger stopper, mens din hashrate ikke gør, så tjek adressen før alt andet.

Sådan tjekker du, i rækkefølge

• Sammenlign de to hashrates. Det, din rig melder, mod oversigten hos poolen, over et døgn i stedet for et minut.
• Læs din egen konfiguration. Hver wallet-adresse og hver vært, tegn for tegn, på hver rig.
• Stop din mining-software, og hold øje. En maskine, der stadig har travlt bagefter, har noget andet kørende.
• List det, der starter af sig selv. Planlagte opgaver og tjenester på Windows, timere og cron på Linux, plus hvad der end kører ved login.
• Se på udgående forbindelser, mens din egen mining-software er stoppet. Alt, der stadig taler i en rytme, er værd at identificere.
• Scan med noget anerkendt, men stop ikke ved et rent resultat. Mining-software ændres rutinemæssigt, indtil scannere ikke længere genkender den, og derfor er dette trin det sidste og ikke det første.

Fjernelse er ikke at slette filen

De er bygget til at komme tilbage. At slette programmet, mens det, der starter det, overlever, køber dig nogle få minutter. Fjern den planlagte opgave, tjenesten, opstartsposten, cron-linjen og registreringsnøglen, derefter filen, genstart så, og tjek, at intet er kommet tilbage.

På en maskine, der betød noget, og især på alt, der har haft en wallet eller en privat nøgle, er en geninstallation den ærlige løsning. Den samme adgang, der installerede mining-software, kunne installere hvad som helst andet, og en moderne kampagne vil have samlet loginoplysninger op undervejs. Skift de adgangskoder, som maskinen har set, fra en anden enhed.

Hold maskinerne rene

De regler, der faktisk forhindrer dette, er kedelige, og det er dem, folk springer over, fordi mining indebærer at downloade usigneret software fra fremmede.

• Mining-software hentes fra projektets egen udgivelsesside, og du tjekker den offentliggjorte checksum. Mining-software fra et forumlink, en videobeskrivelse eller et ompakket arkiv er den mest sandsynlige måde, en mining-maskine bliver inficeret på, netop fordi du ventede en advarsel og afviste den.
• Kør aldrig crackede programmer på en maskine, der miner eller har en wallet. Aldrig. De to vaner hører ikke sammen.
• Patch alt, der er eksponeret mod internettet. De fleste infektioner er automatiserede og vælger maskiner efter versionsnummer.
• Hold den wallet, du får udbetalt til, adskilt fra den maskine, der miner. En rig har kun brug for en adresse, aldrig nøgler.
• Tjek din udbetalingsadresse efter enhver ændring på en rig og igen, efter at der er sket noget uventet med den.