همه چیز درباره ماینینگ و استفاده بدون اجازه از مرورگر و سیستم شما

افزایش ارزش ارزهای دیجیتالی رمزگذاری باعث شده مجرمان سایبری به فکر استفاده از راهکارهای جدید باشند تا با استفاده از آن، بار دیگر سوددهی را برای خود تضمین کنند. در قالب این راهکار جدید، استفاده بدون اجازه از منابع سیستمی قربانی در دستورکار قرار می‌گیرد.

CryptoMining فرایندی است که به واسطه آن تراکنش‌های مخصوص ارزهای دیجیتالی رمزگذاری شده، تایید شده و به فهرستی عمومی به نام بلاک‌چین اضافه می‌شود. در همین زمان، فرایند CryptoMining به ایجاد واحدهای جدیدی از ارزهای دیجیتالی رمزگذاری شده منجر می‌شود. به این ترتیب، فرایند یادشده در خدمت شخصی که این روند را به مرحله اجرا درآورده قرار گرفته و سوددهی را برای او به همراه خواهد داشت. در جدیدترین راهکاری که برای پیاده‌سازی این فرایند به مرحله اجرا درآمده، استفاده از اسکریپتی قانونی و معتبر به نام Coinhive در دستورکار قرار گرفته تا فرایند استخراج ارزهای دیجیتالی رمزگذاری شده در مرورگرها انجام شود. افزایش ارزهای دیجیتالی رمزگذاری شده باعث شده مالکان وب‌سایت‌های مختلف، از این کد به عنوان راهکاری جایگزین برای دیگر منابع درآمدی نظیر تبلیغات یا پرداخت به ازای هر کلیک استفاده کنند.

اگرچه مالکان وب‌سایت‌ها باید موافقت بازدیدکنندگان وب‌سایت‌ها را برای استفاده از این راهکار اخذ کنند اما در اغلب موارد، این امر بدون تایید آن‌ها انجام شده و از منابع پردازشی کامپیوتر کاربران، استفاده می‌شود. در درازمدت، نفوذگران و مجرمان سایبری هم این کد را در وب‌سایت‌ها، افزونه‌های مرورگری و حتی اپلیکیشن‌های ویژه دستگاه‌های الکترونیکی همراه ادغام کرده‌اند. در نتیجه این امر، استفاده از توان پردازشی کامپیوترهای کاربران برای استخراج ارزهای رمزگذاری شده دیجیتالی ممکن می‌شود.

Coinhive: استخراج ارز در مرورگر اینترنتی
در سپتامبر ۲۰۱۷ میلادی، Coinhive به‌ طور رسمی رونمایی شد. این بسته کدنویسی شده فرایند استخراج ارز دیجیتالی شده رمزگذاری شده‌ای به نام Monero (XMR)‌ را عملی می‌سازد. Coinhive برپایه جاوا اسکریپت نوشته شده و از همین رو مالکان وب‌سایت‌ها می‌توانند به راحتی از آن در سایت خود استفاده کنند. به بیان دیگر،Coinhive مدل تجاری جدیدی را برای درآمدزایی وب‌سایت‌ها معرفی کرده است. در این مدل تجاری، مالکان وب‌سایت‌ها می‌توانند تبلیغات را از سایت‌ها حذف کرده و به جای آن Coinhive را جایگزین کنند. به این ترتیب، در حالی که کاربران وبگردی انجام می‌دهند فرایند استخراج ارز دیجیتالی رمزگذاری شده Monero هم انجام می‌شود. به این ترتیب، مالکان وب‌سایت‌ها می‌توانند همچنان به سود رسیده و بدون نمایش تبلیغات، درآمد زایی کنند.

وقتی که کاربری از وب‌سایتی که کد Coinhive در آن ادغام شده بازدید می‌کند، کدهای موجود، فرایند استخراج ارز با استفاده از منابع سیستمی کاربر را عملی می‌کنند. به این ترتیب، بازدیدکنندگان یک وب‌سایت در واقع گروهی از گره‌های یک شبکه را تشکیل می‌دهند که فرایند محاسبات با شدت بالا را برای حل کردن مسائل محاسباتی عملی می‌کنند. نکته قابل توجه آن است که اگر مجرمان سایبری بتوانند این اسکریپت‌ها را در وب‌سایت‌های آلوده قرار دهند، در واقع آن‌ها هستند که از فرایند استخراج ارز دیجیتالی، سود می‌برند.

فرایند وادار کردن مرورگر به اجرای استخراج ارزهای دیجیتالی، آن‌ هم بدون اجازه کاربر را Cryptojacking می‌نامند. اگرچه استخراج ارزهای دیجیتالی رمزگذاری شده با استفاده از بدافزارها فرایند تازه‌ای نیست اما استخراج، در زمانی که کاربر از وب‌سایتی بازدید می‌کند امری کاملاً نو بوده و به شدت در حال گسترش است. در تصویر زیر می‌توانید نحوه استفاده مجرمان سایبری از این فرایند را مشاهده کنید.

کریپتوجکینگ برای وب‌سایت‌هایی که در آن مالک، از کاربر برای اجرای اسکریپت‌ها اجازه نمی‌گیرد یا امکان غیرفعال کردن این گزینه را فراهم نمی‌کند نیز استفاده می‌شود.

راهکارهای متفاوت مجرمان سایبری
تا به اینجای کار راهکارهای مختلفی برای استفاده از اسکریپت‌ها در جهت استخراج ارزهای دیجیتالی رمزگذاری شده مشاهده شده است.

ادغام در وب‌سایت‌ها
Pirate Bay یکی از وب‌سایت‌های سرشناس در انتشار محتویات دارای حق تالیف، از جمله سایت‌هایی است که برای اولین‌بار استفاده از Coinhive را عملی کرد. نکته اینجاست که این امر، بدون آگاهی کاربران انجام شد. وقتی استفاده از این اسکریپت مشخص شد Pirate Bay‌ با انتشار بیانیه‌ای اعلام کرد در حال بررسی این راهکار بوده تا در صورت عملکرد مثبت، از آن به عنوان منبع درآمد جایگزین استفاده کند. در ادامه، چند دامنه دیگر نیز استفاده از Coinhive را آغاز کردند. Politifact یکی دیگر از سایت‌هایی است که استفاده از این اسکریپت را آغاز کرد اما از عمدی یا غیرعمدی بودن این روند، اطلاعی در دست نیست. بر اساس تحقیقات اخیر، این‌ها تنها وب‌سایت‌هایی نیستند که از راهکار یادشده استفاده کرده‌اند بلکه طیف وسیعی از وب‌سایت‌ها شناسایی شده که از Coinhive یا دیگر نرم افزارهای استخراج ارز جاوا اسکریپتی بدون آگاهی کاربر استفاده می‌کنند.

ادغام در وب‌سایت‌های آلوده
محققان موفق به تشخیص وب‌سایت‌های وردپرسی یا Magento شده‌اند که پس از آلوده شدن، Coinhive یا دیگر کدهای جاوا اسکریپتی مشابه در آن‌ها ادغام شده است.

ادغام در افزونه‌های مرورگری
در کنار وب‌سایت‌ها، افزونه‌های مرورگری متفاوتی نیز شناسایی شده‌اند که از Coinhiveاستفاده می‌کنند. در این موارد، نرم افزار استخراج ارزهای دیجیتالی رمزگذاری شده در پس‌زمینه کامپیوتر اجرا شده و به استخراج Monero دست می‌زند و این در حالی است که فرایند استفاده از منابع سیستمی کاربر، در تمام زمانی که مرورگر اجرا می شود و نه تنها در زمان بازدید از یک وب‌سایت خاص، انجام می‌شود.

استفاده در قالب بدافزارها
یکی دیگر از موارد استفاده از Coinhive، به‌کارگیری آن‌ها در کنار بدافزارهای دیگر است. بر اساس گزارش آژانس امنیت اطلاعات و شبکه اتحادیه اروپا، محققان امنیتی موفق به شناسایی وب‌سایت‌هایی شده‌اند که به روزرسانی‌های جعلی جاوا را در اختیار کاربران قرار می دهند و همزمان، ماینینگ را برای استخراج ارز دیجیتالی رمزگذاری شده Monero عملی می‌کنند.

ادغام در بدافزارهای اندرویدی
محققان امنیتی در بررسی‌های خود نسخه اندرویدی Coinhive را شناسایی کرده‌اند که کاربران روسی را هدف گرفته است. اپلیکیشن‌های اندرویدی که این اسکریپت‌ها را هم در خود ادغام کرده‌اند به تازگی شناسایی شده‌اند.

ادغام در دامنه‌هایی با اشتباه تایپی
در قالب این راهکار می‌توان به ثبت دامنه Twitter.com.com و ادغام Coinhive در آن اشاره کرد. به این ترتیب، کاربرانی که آدرس توییتر را به اشتباه تایپ کرده و وارد وب‌سایت جعلی شوند به طور ناخودآگاه، استخراج Monero را هم برای مالک سایت جعلی، تا زمان حضور خود در سایت امکان‌پذیر می‌سازند.

ادغام در کمپین‌های تبلیغاتی آلوده
محققان امنیتی در بررسی‌های خود به این نکته پی برده‌اند که یکی از بزرگ‌ترین گروه‌هایی که کمپین تبلیغات آلوده (Malvertising) را اداره می‌کنند نیز از Coinhiveاستفاده کرده‌اند. به این ترتیب، آگهی‌های آلوده، کاربر را به مقاصد مجرمان سایبری رسانده و به طور همزمان، استخراج Monero هم انجام می‌شود.

ادغام در سرویس‌های ابری آلوده
محققان امنیتی معتقدند توسعه‌دهندگان و سازمان‌ها از راهکارهای مناسبی برای ایمن‌سازی سرویس‌های ابری نظیر آمازون،‌ آژور مایکروسافت و گوگل کلاود استفاده نمی‌کنند. از همین رو، امکان نفوذ به این سرویس‌ها و استفاده از آن‌ها به منظور استخراج ارزهای دیجیتالی رمزگذاری شده، فراهم شده است.

استفاده از نسخه‌های مختلف Coinhive
مایکروسافت در بیانیه رسمی خود در خصوص ظهور انواع و اقسام متفاوتی از اسکریپت‌های Coinhive هشدار داده است. این امر نشان از آن دارد که موفقیتCoinhive باعث شده نرم‌افزارهای مشابهی هم توسط دیگر نام‌هایی که قصد دارند از این بازار سود ببرند در دست توسعه قرار گرفته است.

نحوه تشخیص آلودگی سیستم یا مرورگر
اولین راهکار برای تشخیص ایراد، بررسی عملکرد بهینه سیستمی است. در صورتی که تشخیص دادید سیستم شما رفتاری متفاوت از آنچه در حالت عادی و مرور وب به طور طبیعی شاهد هستید به مرحله نمایش می‌گذارد این احتمال وجود دارد که منابع سیستمی شما با استفاده از اسکریپت‌های نفوذگران، تحت تاثیر قرار گرفته باشد.

عملکرد سطح پایین سیستم
در صورتی که عملکرد سیستم شما به طور غیر منتظره با افت شدید مواجه شده یا انتقال از یک پنجره به پنجره دیگر با تاخیر انجام می‌شود یا حتی امکان استفاده از پهنای باند کامل شبکه وجود ندارد باید تحلیل بیشتر و دقیق‌تر شرایط را در دستورکار قرار دهید.

اولین مرحله در این بخش، غیرفعال‌ کردن اکستنشن‌ها و پلاگین‌های در حال اجرا است تا بتوانید بررسی دقیق‌تری داشته باشید.

به این منظور، روی نوار ابزار ویندوز کلیک راست کرده و گزینه Task Manager را انتخاب کنید. علاوه بر این، می‌توانید از ترکیب کلیدهای Ctrl+ Alt+ Delete استفاده کرده یا روی منوی استارت، کلیک راست کرده یا از ترکیب کلیدهای ویندوز+X استفاده کرده و تسک منیجر را اجرا کنید. در پنجره باز شده به سربرگ Performance‌ مراجعه کنید.

در قسمت پایین روی گزینه Open the resource monitor کلیک کرده و در پنجره جدید به سربرگ General information مراجعه کنید.

گزینه ایده‌آل آن است که اجازه دهید در حالی که این پنجره در مقابل شما قرار گرفته، کامپیوتر برای مدت ۱۵ تا ۲۰ دقیقه کار کند تا رفتار کلی هر مولفه و منبع سیستمی را بررسی کنید. با تشخیص مقادیر مرجع می‌توانید بازدید از وب‌سایت‌های متداول را آغاز کرده و میزان افزایش استفاده از منابع سیستمی را بررسی کنید. در حالت عادی، افزایش به طور ناگهانی طبیعی است اما در صورتی که این افزایش به طور پایدار صورت گرفت احتمال استفاده سایت از منابع سیستمی شما برای استخراج ارز وجود دارد.

افزایش میزان حرارت
این روش بیشتر برای لپ‌تاپ‌ها و دستگاه‌های الکترونیکی همراه که بیشتر در معرض گرم‌شدن قرار دارند قابل استفاده است. افزایش ناگهانی حرارت این دستگاه‌ها، نشان از آن دارد که باید بررسی بیشتری را روی استفاده از منابع سیستمی انجام دهیم. راهکار ساده، نگه داشتن دست در کنار فن این دستگاه‌ها است اما می‌توانید جریان‌های گرمایی را با استفاده از ابزارهای مختلف که در برخی موارد به طور رایگان در دسترس قرار گرفته‌اند بررسی و کنترل کنید.

راهکارهای موجود برای رفع مشکل
روش‌های متفاوتی که برای استفاده از منابع سیستمی، بدون آگاهی شما و در جهت استخراج ارزهای دیجیتالی رمزگذاری شده وجود دارد ممکن است تا حدودی شما را مضطرب کرده باشد. در این صورت بدنیست بدانید راهکارهای متفاوتی ارائه شده‌اند که شما را تا حد زیادی در مقابل این سبک حملات نفوذگران، ایمن خواهند کرد.

ماینینگ با کسب اجازه از کاربر
پس از سو استفاده گسترده از Coinhive، شرکت توسعه دهنده آن نسخه جدیدی از این بسته کدنویسی شده را با عنوان Authedmine منتشر کرد که بدون استثنا، پیش از آغاز فرایند استخراج ارزهای دیجیتالی رمزگذاری شده، موافقت کاربر را اخذ می‌کند. به این ترتیب، شرکت‌ها و سازمان‌هایی که قصد دارند به طور رسمی و قانونی از راهکارهای موجود برای استخراج ارزهای دیجیتالی رمزگذاری شده استفاده کنند، ابتدا باید موافقت کاربر را دریافت کنند. علاوه بر این، باید گزینه‌ای برای غیرفعال کردن این قابلیت در هر زمان ممکن، در اختیار کاربران قرار گیرد.

استفاده از افزونه مسدود کننده تبلیغات
افزونه‌های پرطرفدار و مشهوری که برای مسدود کردن تبلیغات آزاردهنده استفاده می‌شوند خیلی سریع دست به کار شده و پس از انتشار گسترده Coinhive، راهکاری را هم برای مسدود کردن اجرای این اسکریپت، طراحی کردند. به این ترتیب، کاربران نگرانی از اجرای کدهای جاوا اسکریپت ویژه استخراج ارز، در پس‌زمینه کامپیوتر خود نخواهند داشت. البته این راهکار اگرچه مانع از نمایش تبلیغات یا اجرای فرایند استخراج ارزهای دیجیتالی رمزگذاری شده می‌شود اما به شرکت‌هایی که به طور قانونی، منابع مالی خود را روی نمایش تبلیغات یا استخراج ارز با اجازه کاربر استوار کرده‌اند ضربه وارد می‌کند. در اینجا می‌توانید از لیست سفید افزونه برای اعطای دسترسی به سایت‌های خاص استفاده کنید.

استفاده از افزونه‌های مرورگری
توسعه‌دهندگان نرم‌افزاری، افزونه‌های ویژه مرورگرهای مختلف را در دست توسعه قرار داده‌اند که از اجرای کدهای Coinhive و نمونه‌های مشابه، جلوگیری می‌کنند. از جمله این افزونه‌ها که برای مرورگرهای مختلف در دسترس قرار گرفته‌اند می‌توان به No Coin و MinerBlock اشاره کرد.

به روزرسانی نرم‌افزار ضد ویروس/ضد بد افزار
نسخه‌های به روزرسانی شده نرم‌افزارهای آنتی ویروس و ضد بد افزار این امکان را دارند تا نرم‌افزارهای ویژه استخراج ارزهای دیجیتالی رمزگذاری شده را مسدود کنند. از همین رو پیشنهاد می‌شود علاوه بر استفاده از بسته‌های امنیتی، به روزرسانی آن‌ها را هم در دستورکار قرار دهید.

غیرفعال کردن افزونه‌های غیر ضروری
پیشنهاد می‌شود افزونه‌هایی که استفاده چندانی ندارد را حذف یا غیرفعال کنید زیرا این احتمال وجود دارد که افزونه‌های قانونی نیز پس از به روزرسانی، با نمونه‌های آلوده جایگزین شوند. از همین رو توصیه می‌شود سطح حمله را کاهش داده و تعداد افزونه‌های نصب شده را به حداقل برسانید.

سخن پایانی
کریپتوجکینگ رفته رفته به ابزاری جدید در دست مجرمان سایبری تبدیل شده است. این امر نشان از آن دارد که بار دیگر مجرمان سایبری موفق شده‌اند یک گام به پیش برداشته و راهکاری تازه را برای رسیدن به سوددهی با استفاده از روش‌های غیرقانونی به مرحله اجرا در آورند. انتظار می‌رود این بهره‌برداری، تا زمانی که سوددهی ادامه دارد، پایدار باشد. از سوی دیگر، تجربه‌های گذشته نشان می‌دهد ترکیب این راهکار با انوع و اقسام تهدیدهای سایبری نظیر فیشینگ، انتشار باج افزارها و نمونه‌های مشابه نیز بعید نیست.

منبع: شهرسخت افزار