کریپتوجکینگ: وقتی یک رایانه برای شخص دیگری استخراج می‌کند
بدافزار استخراج چگونه وارد می‌شود، چرا پنهان کردن آن از صاحب دستگاه استخراج از همه سخت‌تر و فریب دادن او از همه آسان‌تر است و چگونه یک دستگاه را به‌درستی بررسی و پاک‌سازی کنید.
کریپتوجکینگ چیست
کریپتوجکینگ (cryptojacking) یعنی کسی نرم‌افزار استخراج را روی سخت‌افزاری اجرا کند که نه مالک آن است و نه هزینه‌اش را می‌پردازد. این یک پدیده حاشیه‌ای نیست: رایج‌ترین کاری است که بدافزار پس از تصاحب یک دستگاه با آن انجام می‌دهد، چون درآمد آن پس از آن به فریب دادن هیچ قربانی نیاز ندارد. قربانی، برق است و صورت‌حسابش بی‌سروصدا می‌آید.
تقریباً همیشه Monero است. این ارز را می‌توان با سود روی پردازنده‌های معمولی استخراج کرد، بنابراین چند هزار رایانه اداری ارزش تصاحب دارند، و حریم خصوصی آن یعنی پول قابل ردیابی نیست. برنامه معمولاً XMRig است، یک نرم‌افزار استخراج معمولی و متن‌باز، با نام و پیکربندی تغییریافته.
دستگاهی که برای شخص دیگری استخراج می‌کند، آن‌طور که مردم انتظار دارند آلوده به نظر نمی‌رسد. هیچ چیزی رمزگذاری نمی‌شود، هیچ فایلی گم نمی‌شود، هیچ درخواست باجی ظاهر نمی‌شود. فقط داغ کار می‌کند، کارایی‌اش را کاهش می‌دهد، فن‌هایش را فرسوده می‌کند و هزینه دارد.
چرا وقتی خودتان استخراج می‌کنید، موضوع فرق دارد
هر مقاله عمومی همین را می‌گوید: به دنبال مصرف بالای پردازنده باشید، به دنبال گرما، به دنبال صدای فن. روی یک دستگاه استخراج، هر سه وضعیت عادی هستند، بنابراین توصیه معمول هیچ چیزی را تشخیص نمی‌دهد. ماینر بودن شما را به مجهزترین فرد برای یافتن این مشکل و در عین حال ساده‌ترین فرد برای فریب خوردن تبدیل می‌کند.
مزیت این است که شما چیزی دارید که تقریباً هیچ‌کس دیگری ندارد: یک سابقه دوم و مستقل از آنچه سخت‌افزار شما تولید کرده است. داشبورد استخر شما روی سرور شخص دیگری و از کاری که واقعاً رسیده است اندازه‌گیری می‌شود. اگر دستگاه استخراج یک هش‌ریت گزارش می‌دهد و داشبورد به‌طور معناداری پایین‌تر از آن است، پس از در نظر گرفتن شیرهای منقضی، چیزی در حال مصرف این اختلاف است.
چگونه وارد می‌شود
مسیرها چندان تغییر نکرده‌اند و هیچ‌کدام به یک مهاجم پیشرفته نیاز ندارد.
- نرم‌افزارهای کرک‌شده و غیرقانونی. هنوز بزرگ‌ترین منبع واحد است. یک keygen یا یک نصب‌کننده وصله‌شده برای یک برنامه پولی، برنامه‌ای است که پذیرفته‌اید آن را با مجوزهای خودتان اجرا کنید، و نرم‌افزار استخراج همراه آن درون آرشیو جابه‌جا می‌شود.
- هر چیزی که بدون وصله امنیتی در معرض اینترنت باشد. حفره‌های قدیمی و شناخته‌شده در نرم‌افزارهای سرور به‌طور مداوم اسکن می‌شوند، و نرم‌افزار استخراج محموله دلخواه است، چون از دستگاهی که چیز ارزشمندی برای دزدیدن ندارد پول درمی‌آورد.
- USB. کارزارهای اخیر خود را روی درایوهای جداشدنی کپی می‌کنند و پشت یک میان‌بر که شبیه آیکون درایو است پنهان می‌شوند؛ به همین شکل شبکه‌ای که هیچ ارتباطی با اینترنت ندارد هم آلوده می‌شود.
- ایمیج‌های کانتینر و فرایند ساخت. یک ایمیج پایه که از یک رجیستری عمومی دریافت شده ممکن است حاوی نرم‌افزار استخراج باشد و سپس در هر محیطی که از آن ساخته می‌شود استخراج کند.
- یک زبانه مرورگر، هرچند بسیار کمتر از گذشته. اسکریپت‌هایی که تا وقتی صفحه باز است استخراج می‌کنند، تا زمانی که بزرگ‌ترین ارائه‌دهنده در سال 2019 تعطیل شد یک صنعت بودند؛ هنوز در سایت‌های پخش آنلاین و دانلود وجود دارند، اما با بسته شدن زبانه متوقف می‌شوند.
نشانه‌ها روی دستگاهی که باید بیکار باشد
- هرگز واقعاً بیکار نمی‌شود. فن‌ها با سرعت بالا می‌چرخند و کیس با وجود اینکه هیچ برنامه‌ای باز نیست گرم می‌ماند.
- فرایندی که نمی‌توانید منشأ آن را توضیح دهید، اغلب با نامی شبیه به یک فرایند واقعی سیستم. تفاوت یک حرف در یک نام آشنا، ترفندی رایج است.
- مصرفی که به محض باز کردن Task Manager کاهش می‌یابد و با بستن آن برمی‌گردد. این رفتار عمدی است و به‌تنهایی تقریباً یک اثبات است.
- یک وظیفه زمان‌بندی‌شده، سرویس یا ورودی راه‌اندازی که هیچ‌کس آن را ایجاد نکرده است.
- اتصال‌های خروجی به میزبانی که آن را نمی‌شناسید و با ریتمی ثابت تکرار می‌شوند.
نشانه‌ها روی دستگاه استخراجی که باید استخراج کند
اینجا سؤال این نیست که آیا چیزی در حال استخراج است، بلکه این است که آیا همه چیزهایی که استخراج می‌کنند متعلق به شما هستند.
- داشبورد به‌طور پیوسته پایین‌تر از چیزی است که دستگاه استخراج گزارش می‌دهد، بیش از آنچه شیرهای منقضی توضیح می‌دهند.
- دو فرایند استخراج، در حالی که شما یکی را اجرا کرده‌اید. در یک دستگاه استخراج چند GPU ارزش شمردن دارد.
- اسکریپت راه‌اندازی یا flight sheet شما آدرس کیف پول یا میزبانی (host) دارد که خودتان وارد نکرده‌اید. آن را با دقت بخوانید، نه با یک نگاه گذرا: آدرسی که از وسط تغییر کرده باشد، در نگاه اول کاملاً یکسان به نظر می‌رسد.
- یک کارت گرافیک داغ کار می‌کند و در استخر شما هیچ خروجی‌ای ندارد؛ این دقیقاً نشانه یک نرم‌افزار استخراج دوم است که فقط به یک کارت گرافیک بسته شده است.
- وقتی آن را متوقف کرده‌اید، باز هم استخراج می‌کند. اگر با متوقف کردن نرم‌افزار استخراج خودتان دستگاه آرام نمی‌شود، چیز دیگری در حال اجراست.
جابه‌جایی آدرس کیف پول، که از هزینه برق گران‌تر تمام می‌شود
خانواده جداگانه‌ای از بدافزارها کاری بدتر و ساده‌تر انجام می‌دهند. کلیپ‌بورد را زیر نظر می‌گیرند و وقتی چیزی شبیه آدرس کیف پول کپی می‌کنید، آن را با آدرس مهاجم جایگزین می‌کنند و آدرسی را برمی‌گزینند که با همان نویسه‌ها شروع و تمام شود تا از یک بررسی سریع رد شود. افرادی بدون هیچ ارتباطی با استخراج، مبالغ زیادی را از این راه از دست داده‌اند، و این دو اغلب با هم نصب می‌شوند.
برای یک ماینر، نسخه دومی از همین ایده وجود دارد: آدرس داخل یک اسکریپت راه‌اندازی یا flight sheet یک بار بازنویسی می‌شود و از آن پس هر پرداخت به جای دیگری می‌رود. هیچ چیز خراب نمی‌شود. دستگاه استخراج بی‌نقص کار می‌کند. پول فقط به کیف پول دیگری می‌رسد، و معمولاً افراد زمانی متوجه می‌شوند که از خود می‌پرسند چرا یک پرداخت هرگز نرسید.
راه دفاع کسل‌کننده است و جواب می‌دهد. پس از چسباندن یک آدرس در هر جای مهم، کل آن را بررسی کنید، نه فقط ابتدا و انتهایش را، و مطمئن شوید آدرسی که در داشبورد شما است همان آدرسی است که در نظر داشتید. اگر پرداخت‌های شما متوقف شده ولی هش‌ریت شما نه، پیش از هر چیز آدرس را بررسی کنید.
چگونه بررسی کنید، به ترتیب
- دو هش‌ریت را مقایسه کنید. گزارش دستگاه استخراج در برابر داشبورد استخر، در بازه یک روز و نه یک دقیقه.
- پیکربندی خودتان را بخوانید. هر آدرس کیف پول و هر میزبان را، نویسه به نویسه، روی هر دستگاه استخراج.
- نرم‌افزار استخراج خود را متوقف کنید و نگاه کنید. دستگاهی که پس از آن همچنان مشغول بماند، چیز دیگری در حال اجرا دارد.
- فهرستی از چیزهایی که خودبه‌خود اجرا می‌شوند تهیه کنید. وظایف زمان‌بندی‌شده و سرویس‌ها در Windows، تایمرها و cron در Linux، به‌علاوه هر چیزی که هنگام ورود به سیستم اجرا می‌شود.
- در حالی که نرم‌افزار استخراج خودتان متوقف است، به اتصال‌های خروجی نگاه کنید. هر چیزی که همچنان با ریتمی منظم ارتباط برقرار می‌کند، ارزش شناسایی دارد.
- با یک ابزار معتبر اسکن کنید، اما به یک نتیجه پاک بسنده نکنید. نرم‌افزارهای استخراج به‌طور معمول آن‌قدر تغییر داده می‌شوند که اسکنرها دیگر آن‌ها را نشناسند، و به همین دلیل این مرحله آخرین است، نه اولین.
حذف کردن، پاک کردن فایل نیست
این برنامه‌ها طوری ساخته شده‌اند که برگردند. پاک کردن برنامه در حالی که چیزی که آن را اجرا می‌کند باقی بماند، فقط چند دقیقه برایتان وقت می‌خرد. وظیفه زمان‌بندی‌شده، سرویس، ورودی راه‌اندازی خودکار، خط cron و کلید رجیستری را حذف کنید، سپس فایل را، سپس سیستم را دوباره راه‌اندازی کنید و بررسی کنید که چیزی برنگشته باشد.
روی دستگاهی که اهمیت داشته، و به‌ویژه روی هر چیزی که زمانی کیف پول یا کلید خصوصی در آن بوده، نصب دوباره از صفر را گزینه صادقانه بدانید. همان دسترسی‌ای که یک نرم‌افزار استخراج را نصب کرده، می‌توانست هر چیز دیگری را هم نصب کند، و یک حمله امروزی در مسیر خود اطلاعات ورود را هم جمع کرده است. رمزهای عبوری را که آن دستگاه دیده، از یک دستگاه دیگر تغییر دهید.
پاک ماندن
قواعدی که واقعاً جلوی این را می‌گیرند کسل‌کننده‌اند، و همان‌هایی هستند که افراد نادیده می‌گیرند، چون استخراج با دانلود نرم‌افزارهای امضانشده از افراد ناشناس همراه است.
- نرم‌افزار استخراج را از صفحه انتشار خود پروژه دریافت کنید و چک‌سام منتشرشده را بررسی کنید. نرم‌افزاری که از لینک یک انجمن، توضیحات یک ویدیو یا یک آرشیو دوباره بسته‌بندی‌شده آمده باشد، محتمل‌ترین راه آلوده شدن یک دستگاه استخراج است، دقیقاً به این دلیل که انتظار یک هشدار را داشتید و آن را نادیده گرفتید.
- هرگز نرم‌افزار کرک‌شده را روی دستگاهی که استخراج می‌کند یا کیف پول دارد اجرا نکنید. هرگز. این دو عادت با هم جمع نمی‌شوند.
- هر چیزی را که در معرض اینترنت است به‌روزرسانی امنیتی کنید. بیشتر آلودگی‌ها خودکارند و دستگاه‌ها را بر اساس شماره نسخه انتخاب می‌کنند.
- کیف پولی را که پرداخت‌ها به آن واریز می‌شود، از دستگاهی که استخراج می‌کند جدا نگه دارید. یک دستگاه استخراج فقط به یک آدرس نیاز دارد، هرگز به کلیدها.
- پس از هر تغییری در یک دستگاه استخراج، و دوباره پس از هر اتفاق غیرمنتظره‌ای برای آن، آدرس پرداخت خود را بررسی کنید.