Cos'è il cryptojacking e come funziona?

Il cryptojacking è quando un hacker utilizza il desktop o il laptop di una vittima per generare criptovaluta. Ciò accade quando la vittima installa inconsapevolmente un codice dannoso che consente a un criminale informatico di accedere al proprio dispositivo.

Ciò può accadere quando una vittima fa clic su un collegamento sconosciuto su una pagina Web o su un'e-mail di phishing. Il criminale informatico utilizza quindi questo malware, noto come minatore di monete, per estrarre criptovalute.

Le criptovalute sono valute digitali, quindi l'hacker ha bisogno solo di malware e del dispositivo della vittima per estrarle.

Come funziona il cryptojacking?

I criminali informatici hanno diversi mezzi per convincere il computer di una vittima ad avviare il mining di criptovaluta.

Il primo è indurre le vittime a caricare il codice di mining di criptovalute sui loro PC, spesso tramite un'e-mail di phishing.

La vittima riceve un'e-mail dall'aspetto legittimo che la esorta a fare clic su un collegamento. Il collegamento esegue quindi uno script sul computer che estrae criptovalute in background all'insaputa della vittima.

Il secondo metodo consiste nel posizionare uno script su un sito Web o un annuncio distribuito su più siti Web. Quando una vittima visita un sito Web interessato o fa clic su un annuncio infetto, lo script viene eseguito automaticamente.

In ogni caso, il codice non è memorizzato sul dispositivo della vittima; tutto ciò che fa è eseguire complessi problemi matematici e inviare i risultati a un server sotto il controllo del criminale informatico.

Alcuni script hanno capacità simili a worm, quindi possono infettare più dispositivi sulla stessa rete, massimizzando i ritorni per l'hacker. Questo rende anche più difficile la rimozione.

Secondo i ricercatori di sicurezza di AT&T, tali worm possono anche modificare i propri script per l'esecuzione in diverse architetture di computer, come  x86, x86-64 e aarch64. Gli hacker passano in rassegna diversi script finché uno non funziona. Quindi un processo cron assicura che lo script abbia la persistenza su un dispositivo o che annulli lo script se viene rilevato.

Gli script di cryptomining possono anche verificare se altri malware di crypto mining concorrenti hanno crittografato un dispositivo. Se rileva altri script, può disabilitarli per eseguire invece il suo script.

Perché il cryptojacking è un problema?

Il cryptojacking sembra un crimine senza vittime, poiché nessun danno viene fatto al computer della vittima e nessun dato viene rubato.

Ciò che viene rubato sono le risorse disponibili per un computer in termini di cicli di CPU o GPU. Usare la potenza di calcolo in questo modo è criminale e fatto all'insaputa o senza il consenso della vittima a beneficio dell'hacker che poi guadagna da questa attività.

Mentre un individuo può essere infastidito da un computer più lento, le aziende possono sostenere costi derivanti dai ticket dell'help desk e dal tempo di supporto IT per trovare e risolvere i problemi con i computer lenti. Può anche comportare bollette elettriche molto più elevate per le aziende interessate.

Perché il cryptojacking è popolare?

Il cryptojacking è un fenomeno recente rispetto ad altri crimini informatici, poiché è salito alla ribalta nel 2017 quando il valore di Bitcoin stava aumentando rapidamente.

Uno dei primi servizi di cryptojacking è stato Coinhive. Questa era una raccolta di file JavaScript che offrivano ai proprietari di siti Web un mezzo per guadagnare denaro dai loro visitatori. A marzo 2019, Coinhive ha interrotto per sempre i suoi servizi, ma su Internet esistono ancora altre versioni.

Il numero di attacchi sembra seguire il valore della criptovaluta. Secondo un rapporto Enisa, nel 2020 c'è stato un aumento del 30% su base annua del numero di incidenti di cryptojacking. 

Lo stesso rapporto affermava che Monero (XMR) era la criptovaluta preferita per le attività di cryptojacking del 2019 a causa della sua attenzione alla privacy e all'anonimato. Ciò significa che le transazioni Modero non possono essere tracciate. Inoltre, Monero ha progettato il suo algoritmo proof-of-work per rendere praticabile il mining con una CPU standard anziché hardware specializzato. Questo algoritmo di mining resistente agli ASIC lo rende perfetto per le macchine infettate da malware di cryptojacking.

Nel complesso, il cryptojacking è popolare perché non necessita di una connessione a un server di comando e controllo gestito dall'hacker. Può anche passare inosservato per molto tempo, quindi gli hacker possono fare soldi in modo anonimo senza temere che le forze dell'ordine bussano alle loro porte.

Un'altra motivazione è il denaro:il cryptojacking è economico. Secondo un rapporto di Digital Shadows, i kit per iniziare con il cryptojacking costano solo $ 30. In una campagna, gli hacker hanno guadagnato fino a $ 10.000 al giorno dal mining di criptovalute.

Quali sono alcuni esempi reali di cryptojacking?

Nel 2019, diverse app che stavano segretamente estraendo criptovaluta con le risorse di chi le ha scaricate sono state espulse dal Microsoft Store. Le potenziali vittime troverebbero le app tramite ricerche di parole chiave all'interno del Microsoft Store. Una volta scaricate, le app hanno anche scaricato il codice JavaScript di cryptojacking per estrarre Monero.

Nel 2018, il codice di cryptojacking è stato trovato nascosto nella pagina del rapporto sugli omicidi del Los Angeles Times. Questo ha anche minato Monero.

Un'altra vittima di alto profilo del cryptojacking è stata Tesla. Un'indagine della società di sicurezza informatica Redlock ha rilevato che gli hacker si erano infiltrati nella console Kubernetes di Tesla che non era protetta da password. Hanno installato il software del pool di mining e configurato lo script dannoso per la connessione a un endpoint "non elencato" o semi-pubblico.

Nel 2018, Trend Micro ha osservato un gruppo di hacker chiamato Outlaw che cercava di eseguire uno script in uno degli honeypot IoT di Trend Micro. Entro la fine dello stesso anno, gli hacker avevano sotto il loro controllo oltre 180.000 host compromessi.

Nel 2020, Palo Alto Networks ha scoperto uno schema di cryptojacking che utilizzava le immagini Docker per installare software di cryptomining sui sistemi delle vittime. I criminali informatici hanno inserito il codice all'interno delle immagini Docker per evitare il rilevamento. Le immagini infette hanno aiutato i criminali a estrarre criptovaluta per un valore stimato di $ 36.000.

Quali sono alcuni noti malware di cryptojacking?

Ci sono alcuni esempi di malware di cryptojacking. Alcuni esempi includono:

• Smominru: Questo cryptojacker compromette le macchine Windows utilizzando un exploit EternalBlue e la forza bruta su vari servizi, inclusi MS-SQL, RDP, Telnet e molti altri.
• Badshell :utilizza tecniche senza file e si nasconde nei processi di Windows.
• Coinhive :Questo era uno strumento di monetizzazione di siti Web legittimo, ma è la più grande minaccia di cryptojacking al mondo.
• Minatore di massa :questo è un malware per il mining di criptovalute che è stato individuato utilizzando funzionalità simili a worm per diffondersi attraverso molteplici exploit.

Come fai a sapere se sei vittima di cryptojacking?

Il cryptojacking è praticamente non rilevabile nella maggior parte dei casi. Tuttavia, ci sono alcuni segnali che indicano che il tuo computer potrebbe essere una vittima, inclusi il surriscaldamento del computer, l'emissione di forti rumori della ventola, il consumo delle batterie più veloce del solito, prestazioni ridotte, spegnimento per mancanza di potenza di elaborazione disponibile.

Dovresti considerare di chiudere e bloccare qualsiasi sito Web sospettato di eseguire script di cryptojacking se noti questi sintomi. Dovresti anche aggiornare o eliminare eventuali estensioni del browser discutibili.

Puoi impedire che i tuoi dispositivi siano vittime di cryptojacking?

Prevenire è sempre meglio che curare e ci sono alcune cose che gli utenti possono fare per evitare che le loro macchine soccombano a un incidente di cryptojacking.

Tra questi c'è l'installazione di un ad-blocker, poiché la maggior parte di essi può impedire gli script di cryptojacking. Dovresti anche mantenere aggiornati i tuoi sistemi con il software e le patch più recenti per il tuo sistema operativo e tutte le applicazioni, in particolare i browser web. Molti attacchi sfruttano difetti noti nel software esistente.

Le organizzazioni possono creare un elenco di URL/IP di siti di cryptojacking infetti e domini di pool di cryptomining da bloccare. Possono anche implementare il monitoraggio del sistema di rete per identificare l'utilizzo eccessivo delle risorse.