Een van de snelst groeiende malwaredreigingen heeft de afgelopen achttien maanden een enorm aantal bedrijven getroffen, en de meesten weten daar niets van. Het gaat om de dreiging genaamd cryptojacking, die vooral populair is geworden door de dramatische stijging van de prijs van Bitcoin en andere cryptovaluta eind 2017. De meeste slachtoffers van cryptojacking zijn zich niet bewust van de infectie van hun eigen systeem, omdat de werking ervan niet storend is voor de gebruiker – de malware steelt alleen de rekenkracht van uw CPU-processor en de elektriciteit die daarvoor wordt verbruikt.
De basis van cryptomining
Om de werking van cryptojacking te begrijpen, hoeft niet veel te worden uitgelegd; het volstaat om de basis van cryptomining voor te stellen. Bij het minen van de meeste cryptovaluta zijn veel vrijwilligers van over de hele wereld betrokken, die proberen een specifiek wiskundig probleem op te lossen dat veel rekenkracht vereist, in ruil voor een beloning voor de snelste onder hen. Het resultaat wordt in een gedeelde transactiedatabase opgeslagen, dus naar alle deelnemers verzonden, en het „minispelletje“ begint opnieuw. Bij Bitcoin duurt elk van deze minispelletjes gemiddeld 10 minuten. De openbare verifieerbaarheid van de geldigheid en de onderlinge samenhang van de resultaten zorgen voor geautomatiseerde verificatie van transacties in het systeem, waardoor verdere validatie door een gezaghebbende instelling zoals een bank niet langer nodig is. Het hele proces heet Proof-of-Work (PoW) en vormt een doeltreffende oplossing voor het double-spend-probleem, dat inherent is aan alle digitale valuta, en een van de waardevolste bijdragen van blockchaintechnologie.
Voor het minen van de meeste cryptovaluta, waaronder Bitcoin, wordt tegenwoordig speciaal daarvoor geoptimaliseerde hardware gebruikt, die het betreffende probleem vele malen sneller kan oplossen dan gewone computerprocessoren, maar die vrijwel nergens anders voor geschikt is. Deze worden ASIC-chips genoemd, oftewel geïntegreerde schakelingen voor specifieke toepassingen.
Er bestaat echter ook een aantal cryptovaluta waarvoor het minen zelf de berekening vereist van wiskundige problemen die zo zijn ontworpen dat ze bestand zijn tegen bekende typen ASIC-chips en waarvoor gangbaar beschikbare GPU's, oftewel grafische kaarten (en in beperkte mate CPU's), efficiënter zijn. De reden hiervoor is de brede wereldwijde beschikbaarheid van GPU's in vergelijking met ASIC-chips, waarvan de productie voorlopig slechts wordt beheerst door een zeer kleine, voornamelijk Chinese groep bedrijven, met levertijden van maanden. Ontwikkelaars proberen zo het miningproces (het verifiëren van transacties) voor zoveel mogelijk geïnteresseerden toegankelijk te maken en de kans te verkleinen dat meer dan 51% van de netwerkkracht in handen komt van een klein aantal sterke spelers, die in dat geval misbruik zouden kunnen maken van de reeds genoemde double-spend-problematiek, dus reeds uitgegeven geld terug in hun portemonnee zouden kunnen zetten. Daarmee zouden zij, naast feitelijke diefstal, de bruikbaarheid van de aangevallen cryptovaluta in diskrediet brengen. Deze 51%-aanvallen op kleinere PoW-cryptovaluta komen steeds vaker voor.
Coinhive, of alternatieve monetisatie van webinhoud?
Een onbedoeld gevolg van de optimalisatie van mining voor gewone GPU- en CPU-processoren is het fenomeen cryptojacking. Slimme ontwikkelaars hebben namelijk een manier bedacht om de wiskundige taak, waarvan de oplossing de kern van mining vormt, in veel kleine delen op te splitsen en deze ter berekening toe te wijzen aan duizenden CPU-processoren op gebruikerscomputers via toepassingen voor Windows of Linux, of via JavaScript-code die in de browser van de gebruiker draait en door de bezochte pagina wordt gestart. De bekendste en meest verspreide implementatie van cryptomining via internetbrowsers werd de toepassing Coinhive, die zich richt op het minen van de cryptovaluta Monero.
Niet overal waar u Coinhive-code of vergelijkbare diensten tegenkomt, gebeurt echter iets ongeoorloofds – het gebruik van de toepassing op websites kan ook een volledig transparante en legitieme, zij het marginale, manier zijn om inhoud te gelde te maken. Zo heeft het populaire Amerikaanse tijdschrift Salon.com dit bijvoorbeeld uitgeprobeerd. Naast browsen met een abonnement zonder advertenties en gratis browsen met advertenties, bood het ook een derde mogelijkheid: browsen zonder advertenties in ruil voor tijdelijk minen met de eigen computer. Het bekende piratenportaal thepiratebay.org maakt eveneens gebruik van het Coinhive-script.
De realiteit is dat zelfs websites met honderdduizend dagelijkse bezoekers via Coinhive en vergelijkbare diensten slechts een paar kronen verdienen. Ook Salon.com heeft de monetisatie via cryptomining beëindigd. Het opbouwen en beheren van botnets met geïnfecteerde websites en gebruikerscomputers is evenmin bijzonder lucratief. De oorzaak is enerzijds de prijsdaling van de overgrote meerderheid van cryptovaluta met maar liefst 90% sinds vorig jaar, en anderzijds, en vooral, de relatieve ongeschiktheid van gebruikers-CPU's voor cryptomining in vergelijking niet alleen met ASIC-chips, maar ook met GPU-kaarten. Die kunnen echter niet via JavaScript worden geactiveerd, dus ook niet via een webbrowser, en kunnen daarom voorlopig niet voor cryptojacking worden misbruikt.
Simpel gezegd biedt mining via de browser weinig opbrengst tegen hoge kosten. Dat schrikt de meeste belangstellenden voor legitiem gebruik, en ook sommige hackers, af. Toch zijn er nog steeds genoeg websites en gebruikerscomputers geïnfecteerd met een aangepast Coinhive-script, die voor hackers belangeloos minen met behulp van andermans machines en gestolen elektriciteit, zij het in kleine hoeveelheden.
Hackers verkrijgen toegang tot uw systeem met beproefde infiltratietechnieken zoals phishing en man-in-the-middle. De slimmere varianten van cryptojacking-malware zijn zo ingesteld dat ze alleen worden gestart wanneer de gebruiker inactief is, of dat ze niet meer dan 20% van de CPU gebruiken, zodat ze moeilijker te detecteren zijn. De meeste gebruikers zullen een lichte vertraging of tijdelijke processorbelasting waarschijnlijk wijten aan de nieuwste OS-update, te veel geopende browservensters of verouderende hardware.
Verborgen dreiging
Het is dus moeilijk te detecteren en zal waarschijnlijk nauwelijks invloed hebben op de kwaliteit van uw interactie met de computer – waarom hebben we het dan überhaupt over cryptojacking-malware? Omdat het doorgaans ook zijn kwaadaardigere verwanten naar geïnfecteerde systemen meebrengt, zoals ransomware. Op geïnfecteerde pagina's en in links in phishing-e-mails wachten tegenwoordig vaak beide soorten malware samen met een stukje code dat eerst de status van de overige beveiliging van uw machine controleert en vervolgens bepaalt welke malware voordeliger is om te starten.
Uit het gebruik van dezelfde aanvalsvector door ransomware en cryptojacking-malware volgt echter ook goed nieuws: u kunt zich tegen beide vrijwel op identieke wijze beschermen:
- Informeer gebruikers over de meest voorkomende aanvalsvectoren van malware
- Wijzig de standaardinstellingen in browsers en voorkom dat websites JavaScript kunnen uitvoeren
- Installeer endpoint-AV-software die de meest voorkomende dreigingen aankan en houd deze bijgewerkt
- Implementeer cyberbescherming op basis van kunstmatige intelligentie, zoals Acronis Active Protection, die ransomware en cryptojacking-aanvallen onmiddellijk herkent en stopt – ook aanvallen die zero-day-exploits gebruiken, waartegen klassieke antivirusprogramma's weerloos zijn – voordat ze zich in uw systeem kunnen nestelen.
Tot slot
Cryptojacking op zichzelf is dus niets waarover u zich al te veel zorgen hoeft te maken. De verspreiding van het fenomeen wijst echter duidelijk op het feit dat er nog steeds veel eindgebruikers en bedrijven zijn die geen basisbeveiligingsmaatregelen of moderne en functionele oplossingen zoals Acronis Active Protection gebruiken.
Laat uw kerst niet verpesten en probeer een van onze producten die Acronis Active Protection bevatten, of download ten minste de zelfstandige toepassing Acronis Ransomware Protection gratis.
Bron: https://www.acronis.cz/cryptojacking-taskarice-znacici-zavaznejsi-problemy/
Auteur van het artikel: ZEBR.ai-redactie
