Jedna z najrýchlejšie sa rozvíjajúcich malvérových hrozieb postihla v posledných osemnástich mesiacoch obrovské množstvo firiem a väčšina z nich o tom ani nevie. Ide o hrozbu nazývanú cryptojacking, za ktorej obľúbenosť môže predovšetkým dramatický nárast ceny Bitcoinu, respektíve iných kryptomien, z konca roka 2017. Väčšina obetí cryptojackingu si infekciu vlastného systému neuvedomuje, pretože jej pôsobenie nie je pre používateľa rušivé – malvér iba kradne výpočtový výkon vášho CPU procesora a elektrinu naň vynaloženú.
Základy ťažby kryptomien
Na pochopenie fungovania cryptojackingu netreba veľa vysvetľovať, stačí predstaviť základy ťažby kryptomien. Ťažba väčšiny kryptomien zahŕňa mnoho dobrovoľníkov z celého sveta, ktorí sa snažia vyriešiť špecifický matematický problém náročný na výpočtový výkon výmenou za odmenu pre najrýchlejšieho z nich. Výsledok sa zapíše do zdieľanej databázy transakcií, teda sa rozošle všetkým účastníkom, a „minihra“ začína znova. Pri Bitcoine trvá každá z týchto miniher v priemere 10 minút. Verejná overiteľnosť platnosti a vzájomná nadväznosť výsledkov zabezpečujú automatizovanú verifikáciu transakcií vykonaných v systéme, preto už nie je potrebné ďalšie overovanie ich platnosti akoukoľvek autoritatívnou inštitúciou typu banky. Celý proces sa nazýva Proof-of-Work (PoW) a ide o účinné riešenie problému double-spend, inherentného všetkým digitálnym menám, a o jeden z najhodnotnejších prínosov blockchainovej technológie.
Na ťažbu väčšiny kryptomien vrátane Bitcoinu sa dnes využíva hardvér optimalizovaný na tento účel, schopný mnohonásobne rýchlejšieho riešenia daného problému než bežné počítačové procesory, a pritom nevhodný takmer na čokoľvek iné. Nazývajú sa ASIC čipy alebo integrované obvody pre špecifické aplikácie.
Existuje však aj množstvo kryptomien, ktoré na vlastnú ťažbu vyžadujú výpočet matematických problémov navrhnutých tak, aby boli odolné voči známym typom ASIC čipov a aby boli na ich výpočet efektívnejšie skôr bežne dostupné GPU, teda grafické karty (a okrajovo CPU). Dôvodom tohto kroku je široká, celosvetová dostupnosť GPU oproti ASIC čipom, ktorých výrobu zatiaľ ovláda len veľmi malá, prevažne čínska skupina spoločností, s dodacími lehotami trvajúcimi mesiace. Vývojári sa tak snažia sprístupniť proces ťažby (overovania transakcií) čo najväčšiemu počtu záujemcov a znížiť pravdepodobnosť ovládnutia viac než 51 % výkonu siete malým počtom silných hráčov, ktorí by v takomto prípade mohli zneužiť už spomínanú problematiku double-spend, teda vracať si už minuté peniaze späť do peňaženky, čím by okrem de facto krádeže diskreditovali použiteľnosť napadnutej kryptomeny. Tieto 51 % útoky na menšie PoW kryptomeny sú čoraz častejšie.
Coinhive alebo alternatívna monetizácia webového obsahu?
Nechceným dôsledkom optimalizácie ťažby pre bežné GPU a CPU procesory je fenomén cryptojackingu. Prefíkaní vývojári totiž vymysleli spôsob, ako matematickú úlohu, ktorej riešenie je podstatou ťažby, rozdeliť na mnoho malých častí a zadať ich na výpočet tisícom CPU procesorov na používateľských počítačoch prostredníctvom aplikácií pre Windows či Linux alebo cez JavaScript kód bežiaci v používateľovom prehliadači, spustený navštívenou stránkou. Najznámejšou a najrozšírenejšou implementáciou ťažby kryptomien cez internetové prehliadače sa stala aplikácia Coinhive, ktorá sa zameriava na ťažbu kryptomeny s názvom Monero.
Nie všade, kde narazíte na kód Coinhive či podobné služby, sa však deje niečo nekalé – využívanie aplikácie na webových stránkach môže byť aj úplne transparentným a legitímnym, hoci okrajovým spôsobom monetizácie obsahu – vyskúšal si ho napríklad aj obľúbený americký magazín Salon.com. Ten okrem prehliadania s predplatným bez reklám a bezplatného prehliadania s reklamami ponúkal aj tretiu možnosť, a to prehliadanie bez reklamy za cenu chvíľkovej ťažby vlastným počítačom. Skript Coinhive využíva aj známy pirátsky portál thepiratebay.org.
Realita je taká, že aj stránky so stotisícovou dennou návštevnosťou si cez Coinhive a podobné služby zarobia len pár korún. Aj Salon.com monetizáciu pomocou ťažby kryptomien ukončil. Dvakrát lukratívne nie je ani budovanie a správa botnetov s infikovanými stránkami a používateľskými počítačmi. Na vine je jednak pokles ceny drvivej väčšiny kryptomien od minulého roka o dobrých 90 %, jednak a predovšetkým relatívna nevhodnosť používateľských CPU na ťažbu kryptomien v porovnaní nielen s ASIC čipmi, ale aj s GPU kartami, ktoré však nemožno aktivovať cez JavaScript, teda ani cez webový prehliadač, a zatiaľ ich preto nie je možné zneužiť na cryptojacking.
Jednoducho povedané, ťažba cez prehliadač ponúka málo muziky za veľa peňazí. To síce odradí väčšinu záujemcov o legitímne použitie aj niektorých hackerov, stále sa však nájde dosť webových stránok a používateľských počítačov infikovaných upraveným skriptom Coinhive, ktoré pre hackerov nezištne ťažia s pomocou cudzích strojov a ukradnutej elektriny, hoci len po malých čiastkach.
Prístup do vášho systému hackeri získavajú osvedčenými infiltračnými technikami typu phishing a man-in-the-middle. Tie prepracovanejšie varianty cryptojacking malvéru sú nastavené tak, aby sa spúšťali iba vtedy, keď je používateľ neaktívny, prípadne aby nekradli viac než 20 % CPU, aby ich bolo ťažšie odhaliť. Vinu za mierne spomalenie či chvíľkové vyťaženie procesora väčšina používateľov pravdepodobne zvalí na najnovšiu aktualizáciu OS, príliš veľa otvorených okien v prehliadači alebo starnúci hardvér.
Skrytá hrozba
Je teda ťažké ho odhaliť a na kvalite vašej interakcie s počítačom sa pravdepodobne takmer neprejaví – prečo sa teda o cryptojacking malvéri vôbec bavíme? Pretože si so sebou do infikovaných systémov spravidla vodí aj svojich zákernejších príbuzných, ako napríklad ransomware. Na infikovaných stránkach a v odkazoch phishingových e-mailov dnes často čakajú oba malvéry spolu s kúskom kódu, ktorý najprv skontroluje stav ďalšieho zabezpečenia vášho zariadenia a následne určí, ktorý malvér bude výhodnejšie spustiť.
Z využívania rovnakého vektora útoku ransomvérom a cryptojacking malvérmi však vyplýva aj dobrá správa, a to že sa pred oboma môžete chrániť prakticky rovnako:
- Vzdelávajte používateľov o najčastejších vektoroch malvérových útokov
- Zrušte predvolené nastavenia v prehliadačoch a znemožnite webom spúšťanie JavaScriptu
- Nainštalujte si koncový AV softvér, ktorý si poradí s najbežnejšími hrozbami, a udržiavajte ho aktualizovaný
- Nasaďte kybernetickú ochranu na báze umelej inteligencie, ako je Acronis Active Protection, ktorá okamžite rozpozná a zastaví ransomware aj cryptojacking útoky – vrátane útokov využívajúcich zero-day exploity, proti ktorým sú klasické antivírusy bezbranné – skôr, než sa vo vašom systéme stihnú uhniezdiť.
Na záver
Cryptojacking sám osebe teda nie je nič, čoho by ste sa mali príliš obávať. Rozšírenosť tohto fenoménu však jednoznačne poukazuje na fakt, že stále existuje veľa koncových používateľov a spoločností, ktoré nevyužívajú základné bezpečnostné opatrenia ani moderné a funkčné riešenia typu Acronis Active Protection.
Nenechajte si pokaziť Vianoce a vyskúšajte jeden z našich produktov, ktoré obsahujú Acronis Active Protection, alebo si aspoň bezplatne stiahnite samostatnú aplikáciu Acronis Ransomware Protection.
Zdroj: https://www.acronis.cz/cryptojacking-taskarice-znacici-zavaznejsi-problemy/
Autor článku: Redakcia ZEBR.ai
