Защита от скрытого майнинга

Пользователи могут заметить что-то неладное, если их компьютер внезапно стал работать очень медленно, а скорости вращения кулеров достигли максимальных значений.

Самая главная проблема криптоджекинга связана с тем, что майнинг цифровых валют происходит против воли пользователя. Сайты скрытно запускают скрипты майнеров для использования ресурсов компьютеров посетителей. У пользователей часто нет возможности отказаться от данного процесса, и они даже не понимают, что происходит.

Веб-ресурсы используют скрипты майнеров в качестве способа монетизации. Операции добычи криптовалюты происходят в фоновом режиме и не мешают загрузке основного содержимого сайта.

Браузерные расширения также могут загружать криптомайнеры. Они работают в фоновом режиме также, как и скрипты.

Тест защиты против криптоджекинга

Браузер Opera первым получил защиту от веб-майнеров. В контент-фильтр браузера были добавлены черные списки известных сервисов для веб-майнинга.

Инженеры Opera Software также создали отдельный сайт – https://cryptojackingtest.com/, который позволяет проверить эффективность защиты вашего браузера против криптомайнеров.

Посетите сайт и нажмите кнопку Start для запуска теста. Процесс майнинга будет продолжаться несколько секунд. В итоге вы точно узнаете, защищен ли ваш браузер от веб-майнеров или нет.

Примечательно, что на момент написания статьи по предоставленной статистике 79.7% пользователей, которые воспользовались сервисом, были защищены от данного вида угроз.

Защита от майнинга

Пользователям, которые оказались не защищены, можно дать несколько рекомендаций:

• Используйте браузерные расширения для защиты против JS-скриптов майнеров. Например, NoScript и uMatrix.
• Используйте браузер Opera со встроенным контент-фильтром или антибаннеры для Google Chrome, Mozilla Firefox и Microsoft Edge.
• Используйте антивирус для защиты против скриптов майнеров. Например, Kaspersky Free и Norton Security.
• Установите расширение против майнеров. Например, расширение No Coin, доступное для Google Chrome, Mozilla Firefox и Opera.
• Отключите JavaScript на сомнительных сайтах.

Отметим, что тест Opera проверяет защиту только от скрипта CoinHive. Сохраняется вероятность, что ваш браузер может быть уязвим для аналогичных скриптов. Обычно для блокировки новых майнинг сервисов может потребоваться некоторое время.

Как сохранить ресурсы компьютера

От скрытого майнинга страдают и компании, сотрудники которых задействуют рабочие серверы для получения криптовалюты, и простые пользователи, которые вместе с контентом могут нечаянно скачать майнинг-программу. В отличие от обычных хакерских программ, она не разрушает компьютер и не стирает данные, но перегружает процессор, а это, в свою очередь, мешает работать. Специалист компании, занимающейся информационной безопасностью, рассказал The Village, как простыми средствами защититься от скрытого майнинга.

ведущий аналитик «СёрчИнформ»

Нелегальный майнинг обогнал по популярности вирусы-вымогатели. Хакеры все чаще отказываются от мощных одноразовых атак и выбирают долгосрочный скрытый майнинг. Это как ограбить банк: можно, конечно, рискнуть и опустошить хранилище, а можно понемногу списывать деньги со счетов. Правда, процесс вычисления монет, стоимость которых зависит от количества владельцев, затормозился из-за большого наплыва игроков. Один компьютер средней мощности теперь способен принести за сутки меньше доллара. Для выгодного майнинга требуется все больше ресурсов, поэтому майнеры изобретают новые способы использовать чужие вычислительные мощности.

От скрытого майнинга достается и обычным пользователями, и бизнесу. Среди пострадавших компаний — Tesla, Сбербанк России, «Транснефть», ядерный центр в Сарове. Хотя бизнесу проще пресекать попытки тайного майнинга, если копания постоянно следит за состоянием рабочих станций и серверов, за нагрузкой на процессоры, память, диски. Наша DLP-система, например, выявляет и сигнализирует службе ИБ о сомнительных процессах и подозрительных сайтах. Но и обычным пользователям вполне по силам обнаружить майнера на собственном компьютере. Для этого хватит простых утилит, антивируса и встроенных возможностей операционной системы. Вот что нужно делать.

Следить за нагрузкой на процессор

Если компьютер вдруг стал подвисать, и есть подозрение на майнинг, первым делом следует открыть вкладку «Производительность» в «Диспетчере задач» (в macOS — «Мониторинг системы»). Уровень загрузки процессора, который стремится к 100 %, служит косвенным доказательством. Систему могут нагружать и другие прожорливые программы, например торрент-клиенты или игры, а если компьютер старый, то и потоковое видео. Поэтому вместе с нагрузкой на процессор нужно проверять и активные процессы, чтобы понять, что именно тормозит ресурсы.

Следить за предупреждениями системы

Если Windows сигнализирует о недостоверном сертификате, от установки приложения лучше отказаться. Особенно если издатель ПО не особенно на слуху. Еще один шаг к безопасности — работать на компьютере под учетной записью с правами пользователя, а не администратора системы. Способ предохраниться для пользователей Apple — разрешить установку приложений только из App Store.

Обновлять антивирус

Майнеры — не вредоносное ПО в классическом понимании. Их задача не навредить компьютеру, а незаметно встроиться и эксплуатировать ресурсы как можно дольше. Антивирусы способны засечь момент вторжения и попытки установить ПО в обход защиты. Некоторые антивирусные решения, например «Лаборатории Касперского», определяют майнеры в категорию ПО с «двойным назначением», которое может быть зловредным и легальным. В конце концов, пользователь ведь может сам установить программу для майнинга. В любом случае регулярное обновление антивируса и периодическое сканирование с помощью альтернативного инструмента еще не навредило ни одному компьютеру.

Установить плагин для блокировки скриптов на веб-страницах

Майнер на основе JavaScript, встроенный в код сайта, избавляет злоумышленников от необходимости взламывать компьютер. Сценарий незаметно открывает доступ к ресурсам посетителей сайта, и процесс вычисления криптовалюты продолжается, пока у пользователя открыта страница. Чаще всего скрипты внедряют на ресурсы с пиратским контентом, торрент-площадки, форумы, доски объявлений и так далее. Решить проблему помогают расширения для браузеров, которые умеют блокировать нежелательные скрипты — типа AdBlock или NoScript. Например, разработчики добавили в предустановленные фильтры AdBlock специальный пункт «Список защиты от майнинга криптовалюты» — достаточно поставить галочку, не нужно даже создавать фильтры вручную.

Пользоваться браузерами с защитой от майнинга

На волне криптомании «Яндекс» и Opera объявили об интеграции защиты в обновленные версии своих браузеров. По сути, разработчики автоматизировали описанные выше методы обнаружения майнинга. Новая функция в приложении Opera блокирует выполнение сценариев из списка скриптов NoCoin, а «Яндекс.Браузер» анализирует нагрузку на процессор устройства и запускает проверку в фоновом режиме, когда видит резкий скачок. В Google Chrome защита от майнинга обеспечивается по старинке — отключением JavaScript в настройках контента (ресурсы, которые без него отображаются некорректно, можно добавить в белый список).

Избегать пиратского контента

Пиратские сайты работают не бесплатно, а условно бесплатно. Пользователю все же приходится платить за контент, и самая минимальная плата — время и внимание, потраченное на просмотр безобидной, хотя и навязчивой рекламы. Но довольно часто «риперы» встраивают в контент «дополнительный функционал», так что вместе с игрой или офисным пакетом в систему проникает вредоносное ПО. Причем майнеры встраивают его даже в дистрибутив операционной системы! А жаловаться на сомнительный контент с пиратских сайтов, скачанный собственными руками, некому.

Удивительно, но факт: криптовалюты, используемые для майнинга на персональном компьютере, в особенности Monero, чаще всего применяются в скрытом майнинге на CPU. Только за последние шесть месяцев доход от скрытого майнинга составил около $7 млн, и от этого технологического новшества требуется защита.

Виды скрытого майнинга криптовалют

Основа для вирусных майнеров – технология ботнета. Ботнет — это сеть ботов, являющаяся самым популярным инструментом современных хакеров. Суть в том, что злоумышленники распространяют майнер-бота, а затем управляют им удаленно. И способов заражения вирус-майнером существует несколько видов.

1. Недочеты операционной системы.

Метод заключается в уязвимости протокола Windows. Слабое место проявилось у серверов, отключивших обновление системы. Они не загружали вирус сами, он был залит через уязвимость Windows — эксплойт EternalBlue. Ботнет Smominru установил программу для добычи Monero на 500 тыс. серверов. Пострадали в основном компьютеры России, Индии и Тайваня, а прибыль от скрытого майнинга Монеро составила более $3 млн.

2. «Добровольная» установка дроппера.

Дроппер — это программа, которая скрытно устанавливает вирусные программы. Самый обычный пример — скачивание бесплатного инсталляционного файла популярной игры. Игра действительно устанавливается и запускается, но вот после запуска загружается еще и майнер с дополнительными инструментами, обеспечивающий маскировку вируса под системный процесс и автозапуск.

Кстати, распространение скрытого майнера часто происходит через установочные пакеты игр. Аудитория, которая скачивает игры, зачастую обладает мощными ПК. К тому же геймеры, не задумываясь, открывают для установщика права администратора и отключают антивирусные программы для улучшения производительности игры.

Еще в 2014 году был известен случай добычи биткойна через установщик игры Watch Dogs. Наиболее часто в качестве дроппера используется программа MinerGate. Скрытый майнинг minergate применялся в случае с Watch Dogs и остается одним из наиболее удобных программ для вирусного майнинга.

Сейчас доход от вирусных добытчиков получают не только хакеры. Купить ботнет для майнинга не так уж сложно. Для этого даже не требуется посещать даркнет. Всего за 500 руб. предлагаются готовые решения для скрытого майнинга под ключ, в арсенал которых входят:

• вирус;
• бесплатная склейка майнера с любой программой;
• инструкция по накрутке скачиваний и установок программы;
• замена криптовалюты по ходу процесса.

Тихий майнер представляет собой архив, который распаковывается во временную директорию. Мануалы о том, как сделать скрытый майнер minergate, появлялись в сети еще в 2014 году. Представьте, сколько желающих заработать с минимальными вложениями нашлось за четыре года.

3. Скрытый веб-майнинг (криптоджекинг).

Это один из тех способов, когда злоумышленника можно выявить. Им является администратор сайта. Естественно, хакеры могут «завладеть» управлением сайта и встроить майнинг-скрипты. В любом случае за функционирование сайта всегда отвечает администратор.

Веб-майнеры — это программы, которые работают при открытом браузере или в фоновом режиме. Запускается такая программа при открытии сайта через команду скрипта, написанного на языке JavaScript. Также скрытый веб-майнинг криптовалют может быть запущен через расширения для браузера.

Примеров довольно много: торрент-трекер PirateBay, правительственные сайты США и Великобритании, расширение SafeBrowse для гугл-хрома, stealth mining в интернет-магазинах, популярных CMS, реклама YouTube. Наиболее часто зараженными являются сайты для взрослых (более 50% случаев).

Самым популярным является скрипт Coinhive для майнинга Monero — он стал синонимом принудительного веб-майнинга.

Профилактика и защита от скрытого майнинга криптовалют на ПК

Первым делом, конечно же, можно установить антивирус. Совершенно необязательно для этого скачивать громоздкие программы, которые и сами способны тормозить систему. Достаточно наличия главного инструмента, которого боится большинство вредоносных программ, — песочницы. Естественно, песочница не всегда отсеивает постороннее ПО. Необходимой профилактикой вирусов является регулярная проверка системы специальными программами, одной из которых является утилита Win Patrol Monitor. Она не позволяет вносить изменения в реестр без ведома владельца ПК. Время от времени можно проверять планировщик задач — он используется для запуска нежелательных процессов.

Как обнаружить вирус-майнер

Основным признаком вирус-майнинга является торможение и перегрузка системы. Как уже отмечалось, майнеры маскируются под системные процессы. Также они могут влиять на работу антивирусов, перезагружать компьютер при попытке нахождения вируса, дублировать процессы запуска ПО. Но не стоит забывать, что подозрительное торможение системы может быть вызвано обычным трояном. Чтобы узнать, майнит ли компьютер, необходимо применить несколько утилит:

1. Установить утилиту AIDA 64.
2. Проверить загруженность системы с помощью AIDA64.
3. Если при полном отключении всех программ нагрузка остается, действовать дальше.
4. Установить утилиту An Vir Task Manager, которая отображает каждый процесс, работающий на устройстве. Проверить все запущенные задачи на сайте Virus Total.
5. Если вирус найден, необходимо скопировать адрес его местоположения.
6. Установить утилиту AVZ и удалить вирус-майнер с ПК.

Если все это не помогло, необходимо подключить программу RKill. Она удалит все процессы, мешающие корректной работе утилит и антивирусов. Затем снова необходимо запустить AVZ и просканировать систему.

Защита от майнинга в браузере

Признаки зараженных сайтов:

• зависания браузера;
• всплывающие в новых вкладках редиректы с адресом coin-hive.

Есть сайты, которые используют coinhive добропорядочно. В таких случаях они предупреждают, что сайт запускает добытчик. В основном честными сайтами веб-майнинга являются краны криптовалют.

На волне новостей о нелегальной добыче свое слово сказали разработчики браузеров. В Opera и Яндекс.Браузере появится защита, встроенная в обновления ПО. Очень удобное решение, так как оно не требует дополнительных установок.

Наиболее популярными методами для защиты от майнинга в хроме являются расширения No Coin, Adblock Plus, MinerBlock, утилита Anti-WebMiner. Отключать JavaScript в браузере не рекомендуется, так как большинство сайтов начнут работать некорректно.