cryptojacking

Cryptojacking to nieautoryzowane wykorzystanie cudzego sprzętu albo przeglądarki do kopania kryptowalut na rzecz atakującego. CISA opisuje go jako przejęcie mocy obliczeniowej urządzeń i systemów ofiary, zwykle przez wykorzystanie podatności, w celu zainstalowania oprogramowania do kopania ^[2]. W katalogu MITRE ATT&CK odpowiada mu podtechnika T1496.001, czyli przejęcie mocy obliczeniowej w ramach techniki przejmowania zasobów ^[1]. Atakujący nie kradnie danych, tylko prąd i czas procesora, a rachunek płaci ofiara.

Jak działa

MITRE definiuje przejmowanie zasobów jako wykorzystanie zasobów opanowanych systemów do zadań wymagających dużej mocy obliczeniowej, co może obniżyć dostępność systemu lub usługi ^[1]. Technika dotyczy Windows, macOS, Linuksa, kontenerów oraz usług IaaS i SaaS ^[1]. Według CISA złośliwe oprogramowanie (malware) kopiące kryptowaluty trafia na urządzenia przez spreparowane aplikacje mobilne, botnety, media społecznościowe i przejęte strony z kodem JavaScript, który wykorzystuje moc przeglądarki ^[2].

Wariant przeglądarkowy działa bez instalowania czegokolwiek na komputerze odwiedzającego. Schemat poniżej pokazuje jego przebieg na przejętej stronie.

RYS. 1Cryptojacking w przeglądarce

Odmiany

Cryptojacking różni się tym, czyj procesor pracuje i jak długo.

Coinhive był pierwotnie narzędziem legalnym: miał pozwolić stronom zarabiać na ruchu, wykorzystując procesory odwiedzających ^[3]. Popularność zyskał jednak głównie wśród włamywaczy, którzy szukają stron z nieaktualnym, dziurawym oprogramowaniem ^[3]. Niezależny badacz Willem de Groot sprawdził 2496 sklepów internetowych z przestarzałym oprogramowaniem, na które podrzucono skrypt Coinhive, i ustalił, że 85 procent skryptów było połączonych z zaledwie dwoma kontami Coinhive ^[3]. Opłacalność takiej koparki bierze się stąd, że koszt prądu ponosi odwiedzający ^[3].

W 2017 roku Sekurak, za Malwarebytes, opisał technikę, w której ukryte okno pop-under kopało Monero przez Coinhive nawet po zamknięciu zainfekowanej strony ^[4]. Objawem było wysokie użycie procesora przez przeglądarkę ^[4].

W WordPressie

Dla właściciela strony WordPress cryptojacking ma dwie postacie. W pierwszej przejęta witryna podaje skrypt koparki odwiedzającym. Tak działała kampania z przełomu 2017 i 2018 roku: kod dopisany do bazy danych WordPressa albo do pliku functions.php motywu uruchamiał w przeglądarce koparkę CoinHive, a obok niej keylogger ^[5]. W grudniu 2017 roku zakażonych było ponad 5400 stron, a w styczniu 2018 roku ponownie wykryto ponad 2000 ^[5]. Badacze podkreślali, że liczba ponownych zakażeń świadczy o tym, iż wiele stron nie zostało właściwie zabezpieczonych po pierwszym ataku ^[5].

W drugiej postaci koparka działa na samym serwerze. Atakujący, który przez podatność we wtyczce albo webshell uzyskał wykonanie kodu, może uruchomić proces kopiący. MITRE jako sygnały wymienia trwale podwyższone użycie procesora przez podejrzane procesy, połączenia wychodzące do pul wydobywczych i nieoczekiwane zużycie zasobów przez procesy w tle ^[1]. Na hostingu współdzielonym takie obciążenie może spowolnić też inne konta na tej samej maszynie.

Zagrożenia i skutki

CISA wymienia jako skutki pogorszenie wydajności systemów i sieci, bo procesor i łącze są zajęte przez koparkę, wyższe zużycie energii, uszkodzenia sprzętu przez wysoką temperaturę oraz straty finansowe z powodu przestojów i napraw ^[2]. MITRE klasyfikuje przejmowanie zasobów jako technikę wpływającą na dostępność ^[1].

Dla strony internetowej obecność koparki oznacza zwykle, że atakujący ma zapis do plików lub bazy. To sygnał pełnego włamania, a nie tylko uciążliwego skryptu. W kampanii z 2017 roku ten sam dostęp posłużył do wstrzyknięcia keyloggera przechwytującego dane z formularza logowania administratora ^[5].

Jak się bronić

MITRE zaznacza, że techniki tej nie da się łatwo zablokować środkami prewencyjnymi, bo opiera się na nadużyciu zwykłych funkcji systemu ^[1]. Obrona łączy więc zapobieganie włamaniom z monitorowaniem.

• Aktualizacje. CISA zaleca aktualne oprogramowanie antywirusowe i poprawki systemów ^[2]. Dokumentacja WordPressa przypomina, że starsze wersje nie dostają poprawek bezpieczeństwa ^[6].
• Hasła i logowanie. CISA zaleca silne, unikalne hasła o długości co najmniej 16 znaków ^[2]; WordPress dodatkowo zaleca weryfikację dwuetapową ^[6].
• Monitorowanie obciążenia. CISA radzi obserwować nietypowe, długotrwałe użycie procesora ^[2].
• Lista dozwolonych aplikacji. Blokuje uruchamianie nieznanych plików wykonywalnych na serwerze ^[2].
• Kontrola plików. Monitorowanie integralności plików wykrywa zmiany w functions.php, a skaner złośliwego oprogramowania (malware scanner) znane skrypty koparek.
• Polityka treści. CSP (Content Security Policy) ogranicza, co może robić kod strony w przeglądarce ^[7], co utrudnia ładowanie skryptu z obcej domeny.

Odwiedzający mogą blokować skrypty kopiące rozszerzeniami przeglądarki; Niebezpiecznik wymieniał w 2017 roku m.in. AdBlock Plus, AdGuard, No Coin i minerBlock ^[3]. Po wykryciu koparki na własnej stronie zalecane kroki są takie jak przy innym włamaniu: usunięcie kodu, przegląd bazy, zmiana wszystkich haseł i aktualizacja motywów oraz wtyczek ^[5]; zob. czyszczenie przejętej strony.

Historia i przykłady

• 2017. Na stronie gminy Kołbaskowo działał skrypt Coinhive kopiący Monero kosztem odwiedzających ^[3]. Strona miała nieaktualną, podatną wersję Joomli, a plik zmodyfikowano 23 września ^[3]. Niebezpiecznik opisał sprawę 29 listopada 2017 roku ^[3].
• Grudzień 2017. Sekurak opisuje utrwalone kopanie w przeglądarce przez okno pop-under ^[4].
• Grudzień 2017 – styczeń 2018. Kampania koparki CoinHive i keyloggera na tysiącach stron WordPress ^[5].
• 1 lutego 2021. CISA publikuje wskazówki dotyczące obrony przed nielegalnym kopaniem kryptowalut ^[2].