Una dintre amenințările malware cu cea mai rapidă evoluție a afectat un număr masiv de companii în ultimele optsprezece luni, iar majoritatea nici măcar nu știu despre asta. Este vorba despre amenințarea numită cryptojacking, a cărei popularitate se datorează în principal creșterii dramatice a prețului Bitcoin și, implicit, al altor criptomonede, de la sfârșitul anului 2017. Majoritatea victimelor cryptojackingului nu sunt conștiente de infectarea propriului sistem, deoarece efectul acestuia nu este perturbator pentru utilizator – malware-ul doar fură puterea de calcul a procesorului CPU și electricitatea consumată de acesta.
Noțiunile de bază ale minării criptomonedelor
Pentru a înțelege cum funcționează cryptojackingul nu este nevoie de multe explicații, ci doar de prezentarea bazelor minării criptomonedelor. Minarea majorității criptomonedelor implică mulți voluntari din întreaga lume, care încearcă să rezolve o problemă matematică specifică, solicitantă din punct de vedere al puterii de calcul, în schimbul unei recompense pentru cel mai rapid dintre ei. Rezultatul este înscris într-o bază de date comună de tranzacții, adică este transmis tuturor participanților, iar „mini-jocul” începe din nou. În cazul Bitcoin, fiecare dintre aceste mini-jocuri durează în medie 10 minute. Verificabilitatea publică a validității și continuitatea reciprocă a rezultatelor asigură verificarea automatizată a tranzacțiilor efectuate în sistem, astfel încât nu mai este necesară verificarea validității lor de către vreo instituție autoritară, precum o bancă. Întregul proces se numește Proof-of-Work (PoW) și reprezintă o soluție eficientă pentru problema double-spend, inerentă tuturor monedelor digitale, precum și una dintre cele mai valoroase contribuții ale tehnologiei blockchain.
Pentru minarea majorității criptomonedelor, inclusiv Bitcoin, se utilizează astăzi hardware optimizat în acest scop, capabil să rezolve problema dată de multe ori mai rapid decât procesoarele obișnuite de calculator, dar nepotrivit pentru aproape orice altceva. Acestea se numesc cipuri ASIC, adică circuite integrate pentru aplicații specifice.
Există însă și o serie de criptomonede care, pentru minare, necesită calcularea unor probleme matematice concepute astfel încât să fie rezistente la tipurile cunoscute de cipuri ASIC și pentru care GPU-urile, adică plăcile grafice disponibile în mod obișnuit (și, marginal, CPU-urile), să fie mai eficiente. Motivul acestui demers este disponibilitatea largă, la nivel mondial, a GPU-urilor comparativ cu cipurile ASIC, a căror producție este încă controlată doar de un grup foarte mic, predominant chinez, de companii, cu termene de livrare de câteva luni. Dezvoltatorii încearcă astfel să facă procesul de minare (verificare a tranzacțiilor) accesibil celui mai mare număr posibil de persoane interesate și să reducă probabilitatea ca peste 51% din puterea rețelei să fie controlată de un număr mic de actori puternici, care într-un asemenea caz ar putea exploata problema double-spend menționată anterior, adică să returneze în portofel banii deja cheltuiți, ceea ce, pe lângă furtul de facto, ar compromite utilizabilitatea criptomonedei atacate. Aceste atacuri de 51% asupra criptomonedelor PoW mai mici sunt din ce în ce mai frecvente.
Coinhive sau monetizarea alternativă a conținutului web?
O consecință nedorită a optimizării minării pentru procesoarele GPU și CPU obișnuite este fenomenul cryptojacking. Dezvoltatori ingenioși au găsit o modalitate de a împărți sarcina matematică, a cărei rezolvare constituie esența minării, în multe părți mici și de a le atribui spre calcul miilor de procesoare CPU de pe computerele utilizatorilor prin aplicații pentru Windows sau Linux ori prin cod JavaScript care rulează în browserul utilizatorului, lansat de pagina vizualizată. Cea mai cunoscută și răspândită implementare a minării criptomonedelor prin browsere web a devenit aplicația Coinhive, care se concentrează pe minarea criptomonedei numite Monero.
Totuși, nu peste tot unde întâlniți cod Coinhive sau servicii similare se întâmplă ceva necinstit – utilizarea aplicației pe site-uri web poate fi și o modalitate complet transparentă și legitimă, deși marginală, de monetizare a conținutului – de exemplu, populara revistă americană Salon.com a încercat-o. Pe lângă navigarea pe bază de abonament fără reclame și navigarea gratuită, dar cu reclame, aceasta oferea și o a treia opțiune: navigarea fără reclame în schimbul minării temporare folosind propriul computer. Scriptul Coinhive este folosit și de cunoscutul portal pirat thepiratebay.org.
Realitatea este că și site-urile cu o sută de mii de vizitatori zilnic câștigă doar câțiva bani prin Coinhive și servicii similare. Chiar și Salon.com a încetat monetizarea prin minarea criptomonedelor. Nici construirea și administrarea botneturilor cu site-uri și computere ale utilizatorilor infectate nu este deosebit de profitabilă. De vină este, pe de o parte, scăderea prețului marii majorități a criptomonedelor cu nu mai puțin de 90% față de anul trecut și, pe de altă parte, mai ales inadecvarea relativă a CPU-urilor utilizatorilor pentru minarea criptomonedelor în comparație nu doar cu cipurile ASIC, ci și cu plăcile GPU, care însă nu pot fi activate prin JavaScript, deci nici prin browserul web și, prin urmare, nu pot fi încă exploatate pentru cryptojacking.
Pe scurt, minarea prin browser oferă rezultate mici pentru costuri mari. Deși acest lucru descurajează majoritatea celor interesați de utilizarea legitimă, precum și unii hackeri, există încă suficiente site-uri web și computere ale utilizatorilor infectate cu un script Coinhive modificat, care minează fără interes pentru hackeri cu ajutorul mașinilor altora și al electricității furate, chiar dacă doar în cantități mici.
Hackerii obțin acces la sistemul dumneavoastră prin tehnici de infiltrare consacrate, precum phishing și man-in-the-middle. Variantele mai sofisticate de malware cryptojacking sunt configurate să pornească doar atunci când utilizatorul este inactiv sau să nu fure mai mult de 20% din CPU, pentru a fi mai greu de detectat. Majoritatea utilizatorilor vor pune probabil ușoara încetinire sau utilizarea temporară a procesorului pe seama celei mai recente actualizări a sistemului de operare, a prea multor ferestre deschise în browser sau a hardware-ului învechit.
Amenințarea ascunsă
Prin urmare, este dificil de detectat și, cel mai probabil, nu va afecta aproape deloc calitatea interacțiunii dumneavoastră cu computerul – de ce vorbim atunci despre malware-ul cryptojacking? Pentru că, de regulă, aduce cu sine în sistemele infectate și rudele sale mai răuvoitoare, precum ransomware. Pe site-urile infectate și în linkurile din e-mailurile de phishing, astăzi așteaptă adesea ambele tipuri de malware împreună cu o bucată de cod care verifică mai întâi starea securității suplimentare a mașinii dumneavoastră și apoi stabilește care malware va fi mai avantajos de lansat.
Din utilizarea aceluiași vector de atac de către ransomware și malware-ul cryptojacking rezultă însă și o veste bună: vă puteți proteja împotriva ambelor aproape identic:
- Instruiți utilizatorii cu privire la cei mai frecvenți vectori ai atacurilor malware
- Modificați setările implicite din browsere și împiedicați site-urile web să ruleze JavaScript
- Instalați software AV pentru endpoint-uri, capabil să gestioneze cele mai frecvente amenințări, și mențineți-l actualizat
- Implementați protecție cibernetică bazată pe inteligență artificială, precum Acronis Active Protection, care recunoaște și oprește imediat ransomware-ul și atacurile de cryptojacking – inclusiv atacurile care utilizează exploituri zero-day, împotriva cărora antivirusurile clasice sunt neputincioase – înainte ca acestea să se poată instala în sistemul dumneavoastră.
În concluzie
Cryptojackingul în sine nu este, așadar, ceva de care ar trebui să vă temeți prea mult. Răspândirea fenomenului indică însă fără echivoc faptul că există încă mulți utilizatori finali și companii care nu folosesc măsuri de securitate de bază sau soluții moderne și funcționale precum Acronis Active Protection.
Nu lăsați să vă fie stricate sărbătorile de Crăciun și încercați unul dintre produsele noastre care includ Acronis Active Protection sau măcar descărcați gratuit aplicația independentă Acronis Ransomware Protection.
Sursa: https://www.acronis.cz/cryptojacking-taskarice-znacici-zavaznejsi-problemy/
Autorul articolului: Redacția ZEBR.ai
