Ena najhitreje razvijajočih se groženj z zlonamerno programsko opremo je v zadnjih osemnajstih mesecih prizadela ogromno podjetij, večina pa jih tega sploh ne ve. Govorimo o grožnji, imenovani cryptojacking, katere priljubljenost je predvsem posledica dramatičnega porasta cene Bitcoina oziroma drugih kriptovalut konec leta 2017. Večina žrtev cryptojackinga se okužbe lastnega sistema ne zaveda, saj njegovo delovanje za uporabnika ni moteče – zlonamerna programska oprema le krade računsko moč procesorja CPU in električno energijo, porabljeno zanj.
Osnove rudarjenja kriptovalut
Za razumevanje delovanja cryptojackinga ni treba veliko razlagati, dovolj je predstaviti osnove rudarjenja kriptovalut. Rudarjenje večine kriptovalut vključuje številne prostovoljce z vsega sveta, ki skušajo rešiti specifičen matematični problem, zahteven glede računske moči, v zameno za nagrado za najhitrejšega med njimi. Rezultat se zapiše v skupno podatkovno zbirko transakcij oziroma se pošlje vsem udeležencem, »miniigra« pa se začne znova. Pri Bitcoinu vsaka od teh miniiger v povprečju traja 10 minut. Javna preverljivost veljavnosti in medsebojna povezanost rezultatov zagotavljata samodejno preverjanje transakcij, izvedenih v sistemu, zato njihove veljavnosti ni več treba preverjati pri kateri koli avtoritativni ustanovi, kot je banka. Celoten proces se imenuje Proof-of-Work (PoW) in je učinkovita rešitev problema dvojne porabe, ki je neločljivo povezan z vsemi digitalnimi valutami, ter eden najdragocenejših prispevkov tehnologije veriženja blokov.
Za rudarjenje večine kriptovalut, vključno z Bitcoinom, se danes uporablja za to optimizirana strojna oprema, ki lahko dani problem reši večkrat hitreje kot običajni računalniški procesorji, hkrati pa je neprimerna za skoraj karkoli drugega. Imenujejo se čipi ASIC oziroma integrirana vezja za specifične aplikacije.
Obstaja pa tudi vrsta kriptovalut, pri katerih je za rudarjenje treba izračunavati matematične probleme, zasnovane tako, da so odporni proti znanim vrstam čipov ASIC in da so za njihov izračun učinkovitejše običajno dostopne enote GPU oziroma grafične kartice (obrobno pa tudi CPU). Razlog za to je široka, svetovna dostopnost enot GPU v primerjavi s čipi ASIC, katerih proizvodnjo za zdaj obvladuje le zelo majhna, večinoma kitajska skupina podjetij, z večmesečnimi dobavnimi roki. Razvijalci tako skušajo postopek rudarjenja (preverjanja transakcij) omogočiti čim večjemu številu zainteresiranih in zmanjšati verjetnost, da bi majhno število močnih akterjev prevzelo nadzor nad več kot 51 % zmogljivosti omrežja. Ti bi v takem primeru lahko zlorabili že omenjeno problematiko dvojne porabe, torej si že porabljen denar vrnili v denarnico, s čimer bi poleg dejanske kraje spodkopali uporabnost napadene kriptovalute. Ti 51-odstotni napadi na manjše kriptovalute PoW so vse pogostejši.
Coinhive ali alternativna monetizacija spletnih vsebin?
Neželena posledica optimizacije rudarjenja za običajne procesorje GPU in CPU je pojav cryptojackinga. Prebrisani razvijalci so namreč iznašli način, kako matematično nalogo, katere rešitev je bistvo rudarjenja, razdeliti na številne majhne dele in jih dati v izračun tisočim procesorjem CPU na uporabniških računalnikih prek aplikacij za Windows ali Linux oziroma prek kode JavaScript, ki se izvaja v uporabnikovem brskalniku in jo zažene obiskana stran. Najbolj znana in razširjena implementacija rudarjenja kriptovalut prek spletnih brskalnikov je postala aplikacija Coinhive, ki se osredotoča na rudarjenje kriptovalute Monero.
Vendar se ne dogaja nič nepoštenega povsod, kjer naletite na kodo Coinhive ali podobne storitve – uporaba aplikacije na spletnih straneh je lahko tudi povsem pregledna in legitimna, čeprav obrobna oblika monetizacije vsebine. Preizkusila jo je na primer priljubljena ameriška revija Salon.com. Ta je poleg brskanja z naročnino brez oglasov in brezplačnega brskanja z oglasi ponujala tudi tretjo možnost: brskanje brez oglasov v zameno za kratkotrajno rudarjenje z lastnim računalnikom. Skript Coinhive uporablja tudi znani piratski portal thepiratebay.org.
Dejstvo je, da tudi strani s stotisoč dnevnimi obiskovalci s Coinhive in podobnimi storitvami zaslužijo le nekaj drobiža. Tudi Salon.com je monetizacijo s pomočjo rudarjenja kriptovalut ukinil. Dvakrat donosna ni niti gradnja in upravljanje botnetov z okuženimi stranmi in uporabniškimi računalniki. Razlog je po eni strani padec cene velike večine kriptovalut od lanskega leta za kar 90 %, po drugi strani pa predvsem relativna neprimernost uporabniških procesorjev CPU za rudarjenje kriptovalut v primerjavi ne le s čipi ASIC, temveč tudi z grafičnimi karticami GPU. Teh pa ni mogoče aktivirati prek JavaScripta in s tem niti prek spletnega brskalnika, zato jih za zdaj ni mogoče zlorabiti za cryptojacking.
Preprosto povedano, rudarjenje prek brskalnika ponuja malo učinka za veliko stroškov. To sicer odvrne večino zainteresiranih za legitimno uporabo, pa tudi nekatere hekerje, vendar je še vedno dovolj spletnih strani in uporabniških računalnikov, okuženih s prilagojenim skriptom Coinhive, ki hekerjem nesebično rudarijo s pomočjo tujih naprav in ukradene elektrike, čeprav le v majhnih zneskih.
Hekerji dostop do vašega sistema pridobijo s preverjenimi tehnikami vdora, kot sta phishing in napad človek v sredini. Prefinjenejše različice zlonamerne programske opreme za cryptojacking so nastavljene tako, da se zaženejo le, ko je uporabnik neaktiven, oziroma da ne ukradejo več kot 20 % zmogljivosti CPU, zato jih je težje odkriti. Večina uporabnikov bo za rahlo upočasnitev ali trenutno obremenjenost procesorja verjetno okrivila najnovejšo posodobitev operacijskega sistema, preveč odprtih oken v brskalniku ali starajočo se strojno opremo.
Skrita grožnja
Težko ga je torej odkriti in najverjetneje skoraj ne bo vplival na kakovost vaše interakcije z računalnikom – zakaj potem sploh govorimo o zlonamerni programski opremi za cryptojacking? Ker v okužene sisteme praviloma pripelje tudi svoje zlonamernejše sorodnike, kot je ransomware. Na okuženih straneh in v povezavah phishing e-poštnih sporočil danes pogosto čakata obe zlonamerni programski opremi skupaj z delčkom kode, ki najprej preveri stanje druge zaščite vašega računalnika in nato določi, katero zlonamerno programsko opremo bo ugodneje zagnati.
Iz uporabe istega vektorja napada za ransomware in zlonamerno programsko opremo za cryptojacking pa izhaja tudi dobra novica: pred obema se lahko zaščitite praktično na enak način:
- Poučite uporabnike o najpogostejših vektorjih napadov z zlonamerno programsko opremo
- Spremenite privzete nastavitve v brskalnikih in spletnim mestom preprečite izvajanje JavaScripta
- Namestite končno AV-programsko opremo, ki se zna spopasti z najpogostejšimi grožnjami, in jo redno posodabljajte
- Uvedite kibernetsko zaščito na osnovi umetne inteligence, kot je Acronis Active Protection, ki takoj prepozna in ustavi ransomware ter napade cryptojacking – tudi napade, ki izkoriščajo zero-day exploite, pred katerimi so klasični antivirusi nemočni – še preden se uspejo ugnezditi v vašem sistemu.
Za konec
Cryptojacking sam po sebi torej ni nekaj, česar bi se morali pretirano bati. Razširjenost tega pojava pa nedvoumno kaže na dejstvo, da še vedno obstaja veliko končnih uporabnikov in podjetij, ki ne uporabljajo osnovnih varnostnih ukrepov niti sodobnih in učinkovitih rešitev, kot je Acronis Active Protection.
Ne dovolite, da vam pokvarijo božič, in preizkusite enega od naših izdelkov, ki vsebujejo Acronis Active Protection, ali pa si vsaj brezplačno prenesite samostojno aplikacijo Acronis Ransomware Protection.
Vir: https://www.acronis.cz/cryptojacking-taskarice-znacici-zavaznejsi-problemy/
Avtor članka: Uredništvo ZEBR.ai
