Una delle minacce malware in più rapida crescita ha colpito un numero enorme di aziende negli ultimi diciotto mesi, e la maggior parte di esse non ne è nemmeno consapevole. Si tratta della minaccia chiamata cryptojacking, la cui popolarità è dovuta soprattutto al drammatico aumento del prezzo di Bitcoin e, di conseguenza, di altre criptovalute, alla fine del 2017. La maggior parte delle vittime del cryptojacking non è consapevole dell'infezione del proprio sistema, poiché la sua attività non è invasiva per l'utente: il malware si limita a rubare la potenza di calcolo del processore CPU e l'elettricità necessaria per utilizzarla.
Le basi del mining di criptovalute
Per comprendere il funzionamento del cryptojacking non occorrono molte spiegazioni: basta presentare le basi del mining di criptovalute. Il mining della maggior parte delle criptovalute coinvolge molti volontari da tutto il mondo che cercano di risolvere uno specifico problema matematico ad alta intensità di calcolo, in cambio di una ricompensa per il più veloce tra loro. Il risultato viene registrato in un database condiviso delle transazioni, cioè viene inviato a tutti i partecipanti, e il “minigioco” ricomincia. Per Bitcoin, ciascuno di questi minigiochi dura in media 10 minuti. La verificabilità pubblica della validità e il collegamento reciproco dei risultati assicurano la verifica automatizzata delle transazioni effettuate nel sistema, per cui non è più necessaria un'ulteriore verifica della loro validità da parte di un'istituzione autorevole come una banca. L'intero processo è chiamato Proof-of-Work (PoW) ed è una soluzione efficace al problema del double-spend, intrinseco a tutte le valute digitali, nonché uno dei contributi più preziosi della tecnologia blockchain.
Per il mining della maggior parte delle criptovalute, incluso Bitcoin, oggi viene utilizzato hardware ottimizzato a questo scopo, in grado di risolvere il problema dato molte volte più rapidamente dei normali processori per computer, ma inadatto a quasi qualsiasi altro utilizzo. Si tratta dei chip ASIC, ovvero circuiti integrati per applicazioni specifiche.
Esiste però anche una serie di criptovalute che, per il proprio mining, richiedono il calcolo di problemi matematici progettati per essere resistenti ai tipi noti di chip ASIC e affinché per il loro calcolo siano più efficienti le GPU comunemente disponibili, cioè le schede grafiche (e in misura marginale le CPU). Il motivo di questa scelta è l'ampia disponibilità mondiale delle GPU rispetto ai chip ASIC, la cui produzione è finora controllata solo da un gruppo molto ristretto di aziende, prevalentemente cinesi, con tempi di consegna di diversi mesi. Gli sviluppatori cercano quindi di rendere il processo di mining (verifica delle transazioni) accessibile al maggior numero possibile di interessati e di ridurre la probabilità che oltre il 51% della potenza della rete venga controllato da un piccolo numero di attori potenti, i quali in tal caso potrebbero sfruttare la già menzionata problematica del double-spend, ovvero riportare nel proprio portafoglio denaro già speso, compromettendo così, oltre al furto di fatto, l'utilizzabilità della criptovaluta attaccata. Questi attacchi del 51% contro le criptovalute PoW più piccole sono sempre più frequenti.
Coinhive ovvero una monetizzazione alternativa dei contenuti web?
Una conseguenza indesiderata dell'ottimizzazione del mining per i normali processori GPU e CPU è il fenomeno del cryptojacking. Sviluppatori astuti hanno infatti ideato un modo per dividere il compito matematico, la cui soluzione è alla base del mining, in molte piccole parti e affidarne il calcolo a migliaia di processori CPU sui computer degli utenti tramite applicazioni per Windows o Linux, oppure tramite codice JavaScript in esecuzione nel browser dell'utente, avviato dalla pagina visitata. L'implementazione più nota e diffusa del mining di criptovalute tramite browser Internet è diventata l'applicazione Coinhive, focalizzata sul mining della criptovaluta chiamata Monero.
Tuttavia, non ovunque si incontri il codice di Coinhive o di servizi simili avviene qualcosa di illecito: l'utilizzo dell'applicazione sui siti web può anche rappresentare un modo del tutto trasparente e legittimo, seppure marginale, di monetizzare i contenuti. Ad esempio, lo ha sperimentato anche il popolare magazine statunitense Salon.com. Oltre alla navigazione in abbonamento senza pubblicità e alla navigazione gratuita ma con pubblicità, offriva anche una terza possibilità: navigare senza pubblicità in cambio di un breve mining effettuato dal proprio computer. Lo script Coinhive viene utilizzato anche dal noto portale pirata thepiratebay.org.
La realtà è che anche siti con centomila visitatori al giorno guadagnano solo pochi spiccioli tramite Coinhive e servizi simili. Anche Salon.com ha interrotto la monetizzazione attraverso il mining di criptovalute. Non è particolarmente redditizia neppure la creazione e la gestione di botnet con pagine e computer degli utenti infetti. La colpa è da un lato del crollo del prezzo della stragrande maggioranza delle criptovalute, scese di ben il 90% rispetto all'anno scorso, e dall'altro, soprattutto, della relativa inadeguatezza delle CPU degli utenti per il mining di criptovalute rispetto non solo ai chip ASIC, ma anche alle schede GPU, che però non possono essere attivate tramite JavaScript e quindi nemmeno attraverso un browser web; perciò non è ancora possibile abusarne per il cryptojacking.
In parole semplici, il mining tramite browser offre poco rendimento a fronte di costi elevati. Questo scoraggia la maggior parte degli interessati a un utilizzo legittimo, e anche alcuni hacker, ma rimangono comunque abbastanza siti web e computer degli utenti infettati con uno script Coinhive modificato, che minano disinteressatamente per gli hacker utilizzando macchine altrui ed elettricità rubata, anche se solo in piccole quantità.
Gli hacker ottengono l'accesso al vostro sistema mediante tecniche di infiltrazione collaudate come phishing e man-in-the-middle. Le varianti più sofisticate di malware per cryptojacking sono configurate per avviarsi solo quando l'utente è inattivo oppure per non rubare più del 20% della CPU, così da essere più difficili da rilevare. La maggior parte degli utenti probabilmente attribuirà un lieve rallentamento o un momentaneo carico del processore all'ultimo aggiornamento del sistema operativo, a troppe finestre aperte nel browser o all'hardware ormai datato.
Minaccia nascosta
È quindi difficile da rilevare e probabilmente quasi non influirà sulla qualità della vostra interazione con il computer: perché allora parliamo affatto di malware per cryptojacking? Perché di norma porta nei sistemi infetti anche i suoi parenti più insidiosi, come il ransomware. Oggi, nelle pagine infette e nei link delle e-mail di phishing, entrambi i malware spesso attendono insieme a un frammento di codice che prima controlla lo stato delle altre protezioni del vostro computer e poi determina quale malware sarà più vantaggioso avviare.
Dall'utilizzo dello stesso vettore di attacco da parte di ransomware e malware per cryptojacking deriva però anche una buona notizia: potete proteggervi da entrambi praticamente nello stesso modo:
- Istruite gli utenti sui vettori più comuni degli attacchi malware
- Modificate le impostazioni predefinite dei browser e impedite ai siti web di eseguire JavaScript
- Installate un software AV endpoint in grado di gestire le minacce più comuni e mantenetelo aggiornato
- Implementate una protezione informatica basata sull'intelligenza artificiale, come Acronis Active Protection, che riconosce e blocca immediatamente ransomware e attacchi di cryptojacking, inclusi gli attacchi che sfruttano exploit zero-day, contro i quali gli antivirus tradizionali sono indifesi, prima che riescano a insediarsi nel vostro sistema.
Conclusione
Il cryptojacking in sé non è dunque qualcosa di cui dovreste preoccuparvi eccessivamente. La diffusione del fenomeno indica però chiaramente che esistono ancora molti utenti finali e aziende che non utilizzano misure di sicurezza di base né soluzioni moderne e funzionali come Acronis Active Protection.
Non lasciatevi rovinare il Natale e provate uno dei nostri prodotti che includono Acronis Active Protection, oppure almeno scaricate gratuitamente l'applicazione autonoma Acronis Ransomware Protection.
Fonte: https://www.acronis.cz/cryptojacking-taskarice-znacici-zavaznejsi-problemy/
Autore dell’articolo: Redazione ZEBR.ai
