Cryptojacking: όταν ένα μηχάνημα κάνει mining για κάποιον άλλον

Τι είναι

Cryptojacking είναι όταν κάποιος τρέχει έναν miner σε hardware που δεν του ανήκει και δεν το πληρώνει. Δεν είναι κάτι σπάνιο: είναι το πιο συνηθισμένο πράγμα που κάνει το malware με ένα μηχάνημα μόλις το αποκτήσει, επειδή για την πληρωμή δεν χρειάζεται να εξαπατηθεί κανένα θύμα σε τίποτα μετά. Το θύμα είναι το ρεύμα, και ο λογαριασμός έρχεται αθόρυβα.

Είναι σχεδόν πάντα Monero. Το νόμισμα μπορεί να γίνει mining με κέρδος σε συνηθισμένους επεξεργαστές, οπότε μερικές χιλιάδες υπολογιστές γραφείου αξίζουν τον κόπο, και η ιδιωτικότητά του σημαίνει ότι τα χρήματα δεν μπορούν να εντοπιστούν. Το πρόγραμμα είναι συνήθως το XMRig, ένας συνηθισμένος miner ανοιχτού κώδικα, με αλλαγμένο όνομα και ρυθμίσεις.

Ένα μηχάνημα που κάνει mining για κάποιον άλλο δεν φέρεται σαν μολυσμένο με τον τρόπο που περιμένει ο κόσμος. Τίποτα δεν κρυπτογραφείται, κανένα αρχείο δεν λείπει, κανένα λύτρο δεν εμφανίζεται. Απλώς ζεσταίνεται, μειώνει ταχύτητα, φθείρει τους ανεμιστήρες του και κοστίζει χρήματα.

Γιατί είναι διαφορετικό όταν ήδη κάνετε mining

Κάθε γενικό άρθρο λέει το ίδιο: ψάξτε για υψηλή χρήση επεξεργαστή, για θερμότητα, για ανεμιστήρες. Σε ένα rig, και τα τρία είναι η κανονική κατάσταση, οπότε η συνηθισμένη συμβουλή δεν εντοπίζει τίποτα. Το ότι είστε miner σας κάνει τον καλύτερα εξοπλισμένο να το βρείτε και τον πιο εύκολο να ξεγελαστείτε.

Το πλεονέκτημα είναι ότι έχετε κάτι που δεν έχει σχεδόν κανείς άλλος: μια δεύτερη, ανεξάρτητη καταγραφή του τι παρήγαγε το hardware σας. Το dashboard του pool σας μετριέται στον server κάποιου άλλου από δουλειά που πράγματι έφτασε. Αν το rig αναφέρει ένα hashrate και το dashboard είναι αισθητά χαμηλότερα, αφού λάβετε υπόψη τα stale shares, κάτι καταναλώνει τη διαφορά.

Πώς μπαίνει

Οι δρόμοι δεν έχουν αλλάξει πολύ, και κανένας τους δεν απαιτεί εξελιγμένο επιτιθέμενο.

• Πειρατικό λογισμικό και cracks. Ακόμη η μεγαλύτερη μεμονωμένη πηγή. Ένα keygen ή ένας τροποποιημένος installer για μια πληρωμένη εφαρμογή είναι πρόγραμμα που δεχτήκατε να τρέξετε με τα δικά σας δικαιώματα, και ο miner ταξιδεύει μέσα στο αρχείο.
• Οτιδήποτε εκτεθειμένο στο internet χωρίς ενημέρωση ασφαλείας. Παλιά, ευρέως γνωστά κενά σε λογισμικό servers σαρώνονται συνεχώς, και ο miner είναι το προτιμώμενο φορτίο επειδή βγάζει χρήματα από ένα μηχάνημα που δεν έχει τίποτα άξιο κλοπής.
• USB. Πρόσφατες εκστρατείες αντιγράφονται σε αφαιρούμενους δίσκους και κρύβονται πίσω από μια συντόμευση που μοιάζει με το εικονίδιο του δίσκου, και έτσι μολύνεται ακόμη και ένα δίκτυο χωρίς έκθεση στο internet.
• Images containers και builds. Ένα βασικό image από δημόσιο registry μπορεί να περιέχει έναν, και τότε κάνει mining μέσα σε κάθε περιβάλλον που χτίζεται από αυτό.
• Μια καρτέλα του browser, αν και πολύ λιγότερο απ' ό,τι παλιά. Τα scripts που κάνουν mining όσο μια σελίδα είναι ανοιχτή ήταν ολόκληρη βιομηχανία μέχρι να κλείσει ο μεγαλύτερος πάροχος το 2019· υπάρχουν ακόμη σε ιστότοπους streaming και λήψεων, αλλά σταματούν όταν κλείσει η καρτέλα.

Τα σημάδια σε ένα μηχάνημα που θα έπρεπε να είναι αδρανές

• Δεν είναι ποτέ πραγματικά αδρανές. Οι ανεμιστήρες μένουν ψηλά και το κουτί μένει ζεστό χωρίς τίποτα ανοιχτό.
• Μια διεργασία που δεν μπορείτε να εξηγήσετε, συχνά με όνομα κοντά σε μια πραγματική διεργασία του συστήματος. Η διαφορά ενός χαρακτήρα σε ένα γνωστό όνομα είναι συνηθισμένο κόλπο.
• Χρήση που πέφτει τη στιγμή που ανοίγετε τη διαχείριση εργασιών και επιστρέφει όταν την κλείνετε. Αυτή η συμπεριφορά είναι σκόπιμη και είναι σχεδόν απόδειξη από μόνη της.
• Μια προγραμματισμένη εργασία, υπηρεσία ή καταχώριση εκκίνησης που δεν δημιούργησε κανείς.
• Εξερχόμενες συνδέσεις σε έναν host που δεν αναγνωρίζετε, που επαναλαμβάνονται με σταθερό ρυθμό.

Τα σημάδια σε ένα rig που θα έπρεπε να κάνει mining

Εδώ το ερώτημα δεν είναι αν κάτι κάνει mining, είναι αν όλα όσα κάνουν mining είναι δικά σας.

• Το dashboard είναι κάτω από αυτό που αναφέρει το rig, σταθερά, πέρα από όσα εξηγούν τα stale shares.
• Δύο διεργασίες mining εκεί όπου ξεκινήσατε μία. Σε ένα rig με πολλές GPU αξίζει να τις μετρήσετε.
• Το script εκκίνησης ή το flight sheet σας έχει μια διεύθυνση πορτοφολιού ή έναν host που δεν πληκτρολογήσατε εσείς. Διαβάστε το, μην του ρίξετε απλώς μια ματιά: μια διεύθυνση αλλαγμένη στη μέση φαίνεται ίδια με μια γρήγορη ματιά.
• Μια κάρτα ζεσταίνεται και δεν παράγει τίποτα στο pool σας, κάτι που μοιάζει με δεύτερο miner δεμένο σε μία συσκευή.
• Κάνει mining ενώ το σταματήσατε. Αν η διακοπή του δικού σας miner δεν ησυχάζει το μηχάνημα, τρέχει κάτι άλλο.

Η αλλαγή πορτοφολιού, που κοστίζει περισσότερο από το ρεύμα

Μια ξεχωριστή οικογένεια malware κάνει κάτι χειρότερο και απλούστερο. Παρακολουθεί το clipboard, και όταν αντιγράφετε κάτι που μοιάζει με διεύθυνση πορτοφολιού, το αντικαθιστά με του επιτιθέμενου, επιλέγοντας μία που ξεκινά και τελειώνει με τους ίδιους χαρακτήρες ώστε ένας γρήγορος έλεγχος να περνά. Άνθρωποι έχουν χάσει μεγάλα ποσά έτσι χωρίς καθόλου mining, και τα δύο συχνά εγκαθίστανται μαζί.

Για έναν miner υπάρχει και μια δεύτερη εκδοχή της ίδιας ιδέας: η διεύθυνση μέσα σε ένα script εκκίνησης ή σε ένα flight sheet αλλάζει μία φορά, και κάθε πληρωμή από εκεί και πέρα πηγαίνει αλλού. Τίποτα δεν χαλάει. Το rig κάνει mining τέλεια. Τα χρήματα απλώς φτάνουν σε άλλο πορτοφόλι, και ο συνηθισμένος τρόπος που το ανακαλύπτει κανείς είναι όταν αναρωτιέται γιατί δεν ήρθε ποτέ μια πληρωμή.

Η άμυνα είναι βαρετή και λειτουργεί. Αφού επικολλήσετε μια διεύθυνση οπουδήποτε έχει σημασία, ελέγξτε ολόκληρη και όχι μόνο τις άκρες, και επιβεβαιώστε ότι η διεύθυνση στο dashboard σας είναι αυτή που εννοούσατε. Αν οι πληρωμές σας σταματήσουν ενώ το hashrate σας όχι, ελέγξτε τη διεύθυνση πριν από οτιδήποτε άλλο.

Πώς να ελέγξετε, με τη σειρά

• Συγκρίνετε τα δύο hashrate. Αυτό που αναφέρει το rig με το dashboard του pool, σε μια ημέρα και όχι σε ένα λεπτό.
• Διαβάστε τις δικές σας ρυθμίσεις. Κάθε διεύθυνση πορτοφολιού και κάθε host, χαρακτήρα προς χαρακτήρα, σε κάθε rig.
• Σταματήστε τον miner σας και παρακολουθήστε. Ένα μηχάνημα που μένει απασχολημένο μετά έχει κάτι άλλο να τρέχει.
• Καταγράψτε τι ξεκινά μόνο του. Προγραμματισμένες εργασίες και υπηρεσίες στα Windows, timers και cron στο Linux, και ό,τι τρέχει κατά τη σύνδεση.
• Κοιτάξτε τις εξερχόμενες συνδέσεις ενώ ο δικός σας miner είναι σταματημένος. Οτιδήποτε μιλάει ακόμη με σταθερό ρυθμό αξίζει να το ονομάσετε.
• Σαρώστε με κάτι αξιόπιστο, αλλά μη σταματήσετε σε ένα καθαρό αποτέλεσμα. Οι miners τροποποιούνται συστηματικά μέχρι οι σαρωτές να μην τους αναγνωρίζουν, γι' αυτό αυτό το βήμα είναι τελευταίο και όχι πρώτο.

Η αφαίρεση δεν είναι διαγραφή του αρχείου

Αυτά είναι φτιαγμένα να επιστρέφουν. Αν διαγράψετε το πρόγραμμα ενώ επιβιώνει αυτό που το ξεκινά, κερδίζετε λίγα λεπτά. Αφαιρέστε την προγραμματισμένη εργασία, την υπηρεσία, την καταχώριση εκκίνησης, τη γραμμή cron και το κλειδί μητρώου, μετά το αρχείο, μετά κάντε επανεκκίνηση και ελέγξτε ότι τίποτα δεν επέστρεψε.

Σε ένα μηχάνημα που είχε σημασία, και ιδίως σε οτιδήποτε έχει κρατήσει πορτοφόλι ή ιδιωτικό κλειδί, θεωρήστε την επανεγκατάσταση την τίμια επιλογή. Η ίδια πρόσβαση που εγκατέστησε έναν miner θα μπορούσε να εγκαταστήσει οτιδήποτε άλλο, και μια σύγχρονη εκστρατεία θα έχει μαζέψει διαπιστευτήρια στο πέρασμά της. Αλλάξτε τους κωδικούς που έχει δει αυτό το μηχάνημα, από άλλη συσκευή.

Μείνετε καθαροί

Οι κανόνες που πραγματικά το αποτρέπουν είναι βαρετοί, και είναι αυτοί που παραλείπει ο κόσμος, επειδή το mining περιλαμβάνει λήψη μη υπογεγραμμένου λογισμικού από αγνώστους.

• Οι miners έρχονται από τη σελίδα εκδόσεων του ίδιου του έργου, και ελέγχετε το δημοσιευμένο checksum. Ένας miner από σύνδεσμο φόρουμ, περιγραφή βίντεο ή ξαναπακεταρισμένο αρχείο είναι ο πιο πιθανός τρόπος να μολυνθεί ένα μηχάνημα mining, ακριβώς επειδή περιμένατε μια προειδοποίηση και την αγνοήσατε.
• Μην τρέχετε ποτέ πειρατικό λογισμικό σε μηχάνημα που κάνει mining ή κρατά πορτοφόλι. Ποτέ. Οι δύο συνήθειες δεν ταιριάζουν.
• Ενημερώνετε οτιδήποτε είναι εκτεθειμένο στο internet. Οι περισσότερες μολύνσεις είναι αυτοματοποιημένες και διαλέγουν μηχανήματα με βάση τον αριθμό έκδοσης.
• Κρατήστε το πορτοφόλι όπου πληρώνεστε χωριστά από το μηχάνημα που κάνει mining. Ένα rig χρειάζεται μόνο μια διεύθυνση, ποτέ κλειδιά.
• Ελέγχετε τη διεύθυνση πληρωμής σας μετά από κάθε αλλαγή σε ένα rig, και ξανά μετά από οτιδήποτε απρόσμενο του συμβεί.