Uma das ameaças de malware que mais cresceu afetou um enorme número de empresas nos últimos dezoito meses, e a maioria delas nem sabe disso. Estamos falando da ameaça chamada cryptojacking, cuja popularidade se deve principalmente ao aumento dramático do preço do Bitcoin e, consequentemente, de outras criptomoedas, no fim de 2017. A maioria das vítimas de cryptojacking não tem consciência da infecção do próprio sistema, pois sua atuação não é disruptiva para o usuário – o malware apenas rouba a capacidade de processamento do seu processador CPU e a eletricidade consumida por ele.
Noções básicas da mineração de criptomoedas
Para entender o funcionamento do cryptojacking, não é preciso explicar muito; basta apresentar os fundamentos da mineração de criptomoedas. A mineração da maioria das criptomoedas envolve muitos voluntários do mundo todo que tentam resolver um problema matemático específico, exigente em capacidade computacional, em troca de uma recompensa para o mais rápido entre eles. O resultado é registrado em um banco de dados compartilhado de transações, ou seja, é enviado a todos os participantes, e o “minijogo” começa novamente. No Bitcoin, cada um desses minijogos dura em média 10 minutos. A verificabilidade pública da validade e a interconexão dos resultados garantem a verificação automatizada das transações realizadas no sistema, de modo que já não é necessária uma verificação adicional de sua validade por qualquer instituição autoritativa, como um banco. Todo o processo é chamado de Proof-of-Work (PoW) e é uma solução eficaz para o problema de gasto duplo, inerente a todas as moedas digitais, além de uma das contribuições mais valiosas da tecnologia blockchain.
Hoje, para minerar a maioria das criptomoedas, incluindo Bitcoin, é utilizado hardware otimizado para essa finalidade, capaz de resolver o problema em questão muitas vezes mais rapidamente do que processadores de computador comuns e, ao mesmo tempo, inadequado para quase qualquer outra coisa. Eles são chamados de chips ASIC, ou circuitos integrados para aplicações específicas.
No entanto, há também várias criptomoedas cuja mineração exige o cálculo de problemas matemáticos projetados para serem resistentes aos tipos conhecidos de chips ASIC e para que GPUs, ou seja, placas de vídeo amplamente disponíveis (e, marginalmente, CPUs), sejam mais eficientes para calculá-los. O motivo dessa medida é a ampla disponibilidade mundial de GPUs em comparação com os chips ASIC, cuja produção ainda é controlada por um grupo muito pequeno, predominantemente chinês, de empresas, com prazos de entrega de meses. Assim, os desenvolvedores tentam tornar o processo de mineração (verificação de transações) acessível ao maior número possível de interessados e reduzir a probabilidade de que mais de 51% da capacidade da rede seja controlada por um pequeno número de atores poderosos, que, nesse caso, poderiam abusar da já mencionada questão do gasto duplo, ou seja, devolver à própria carteira dinheiro já gasto, o que, além de representar de fato um roubo, desacreditaria a utilidade da criptomoeda atacada. Esses ataques de 51% a criptomoedas PoW menores são cada vez mais frequentes.
Coinhive, ou monetização alternativa de conteúdo web?
Uma consequência indesejada da otimização da mineração para processadores GPU e CPU comuns é o fenômeno do cryptojacking. Desenvolvedores espertos criaram uma forma de dividir o problema matemático cuja solução é a essência da mineração em muitas pequenas partes e enviá-las para cálculo em milhares de processadores CPU nos computadores dos usuários, por meio de aplicativos para Windows ou Linux, ou por código JavaScript executado no navegador do usuário e iniciado pela página visitada. A implementação mais conhecida e difundida de mineração de criptomoedas por navegadores de internet tornou-se o aplicativo Coinhive, que se concentra na mineração da criptomoeda chamada Monero.
Mas nem em todos os lugares onde você encontrar código do Coinhive ou de serviços semelhantes algo ilícito está acontecendo – o uso do aplicativo em sites pode ser uma forma totalmente transparente e legítima, embora marginal, de monetização de conteúdo. Por exemplo, a popular revista norte-americana Salon.com também o experimentou. Além da navegação com assinatura sem anúncios e da navegação gratuita, mas com anúncios, ela oferecia uma terceira opção: navegar sem anúncios em troca de uma breve mineração usando o próprio computador. O conhecido portal pirata thepiratebay.org também utiliza o script Coinhive.
A realidade é que até sites com cem mil visitas diárias ganham apenas alguns trocados por meio do Coinhive e serviços semelhantes. Até mesmo o Salon.com encerrou a monetização por mineração de criptomoedas. A criação e a gestão de botnets com páginas e computadores de usuários infectados também não são muito lucrativas. Isso se deve, por um lado, à queda de impressionantes 90% no valor da grande maioria das criptomoedas desde o ano passado e, por outro, principalmente à relativa inadequação das CPUs dos usuários para mineração de criptomoedas em comparação não apenas com chips ASIC, mas também com placas GPU, que, por sua vez, não podem ser ativadas por JavaScript e, portanto, nem por meio de um navegador web, não sendo possível explorá-las para cryptojacking por enquanto.
Em termos simples, a mineração pelo navegador oferece pouco retorno a um custo alto. Embora isso afaste a maioria dos interessados em uso legítimo e também alguns hackers, ainda há muitos sites e computadores de usuários infectados por um script Coinhive modificado, que mineram desinteressadamente para hackers usando máquinas alheias e eletricidade roubada, mesmo que em pequenas quantidades.
Os hackers obtêm acesso ao seu sistema por meio de técnicas comprovadas de infiltração, como phishing e man-in-the-middle. As variantes mais sofisticadas de malware de cryptojacking são configuradas para serem executadas apenas quando o usuário está inativo ou para não roubar mais de 20% da CPU, tornando-as mais difíceis de detectar. A maioria dos usuários provavelmente atribuirá uma leve lentidão ou uso momentâneo do processador à atualização mais recente do sistema operacional, a muitas janelas abertas no navegador ou ao hardware envelhecido.
Ameaça oculta
Portanto, é difícil detectá-lo e é provável que ele quase não afete a qualidade da sua interação com o computador – então, por que estamos falando de malware de cryptojacking? Porque ele geralmente traz consigo para os sistemas infectados parentes mais maliciosos, como o ransomware. Em páginas infectadas e em links de e-mails de phishing, ambos os malwares hoje frequentemente aguardam junto com um trecho de código que primeiro verifica o estado de outras proteções da sua máquina e, em seguida, determina qual malware será mais vantajoso executar.
O fato de ransomware e malware de cryptojacking usarem o mesmo vetor de ataque também traz uma boa notícia: você pode se proteger contra ambos de forma praticamente idêntica:
- Eduque os usuários sobre os vetores mais comuns de ataques de malware
- Altere as configurações padrão dos navegadores e impeça que sites executem JavaScript
- Instale um software antivírus de endpoint capaz de lidar com as ameaças mais comuns e mantenha-o atualizado
- Implemente proteção cibernética baseada em inteligência artificial, como Acronis Active Protection, que reconhece e interrompe imediatamente ransomware e ataques de cryptojacking – inclusive ataques que exploram vulnerabilidades zero-day, contra os quais os antivírus clássicos são indefesos – antes que consigam se instalar no seu sistema.
Conclusão
O cryptojacking em si, portanto, não é algo com que você deva se preocupar excessivamente. No entanto, a disseminação do fenômeno aponta claramente para o fato de que ainda existem muitos usuários finais e empresas que não utilizam medidas básicas de segurança nem soluções modernas e eficazes como Acronis Active Protection.
Não deixe que estraguem seu Natal e experimente um de nossos produtos que incluem Acronis Active Protection, ou pelo menos baixe gratuitamente o aplicativo independente Acronis Ransomware Protection.
Fonte: https://www.acronis.cz/cryptojacking-taskarice-znacici-zavaznejsi-problemy/
Autor do artigo: Redação ZEBR.ai
