מעבדת קספרסקי זיהתה קבוצת האקרים מתוחכמת שצברה מיליונים באמצעות קוד זדוני לכריית מטבע קריפטוגרפי

קספרסקי

עברייני סייבר החלו להשתמש בשיטות הדבקה מתוחכמות, הלקוחות מהתקפות ממוקדות, על מנת להתקין תוכנות כרייה, כך מדווחים חוקרי מעבדת קספרסקי. הקבוצה המצליחה ביותר שאותרה על ידי מעבדת קספרסקי ניצלה את קורבנותיה כדי לצבור לפחות 7 מיליון דולר במהלך 6 חודשים בלבד במהלך 2017.

על אף ששוק המטבעות הקריפטוגרפים חווה עליות ומורדות רבים, הזינוק בערך הביטקוין בשנה שעברה השפיע לא רק על הכלכלה הגלובלית, אלא גם על עולם אבטחת הסייבר. כדי להשיג מטבעות קריפטוגרפים, עבריינים החלו לעשות שימוש בתוכנת כרייה במסגרת התקפותיהם. בדומה לתוכנות הכופר, תוכנת הכרייה מייצרת עבור העבריינים מודל פשוט ליצירת הכנסות, אבל בשונה מהן, היא אינה הרסנית כלפי המשתמשים ומסוגלת להישאר מוסתרת לאורך זמן רב - תוך שהיא משתמשת בחשאי באנרגיית המחשב המותקף כדי לבצע כרייה. בספטמבר 2017, זיהתה מעבדת קספרסקי גידול בהיקף תוכנות הכרייה שהחלו להתפשט ברחבי העולם וחזתה את המשך המגמה. המחקר האחרון של מעבדת קספרסקי חושף, כי לא רק שהצמיחה המשיכה, היא אף האיצה והתרחבה.

חוקרי מעבדת קספרסקי זיהו לאחרונה קבוצת עברייני סייבר המחזיקה בטכניקות מעולם ה-APT (התקפות ריגול מתוחכמות) להדבקת משתמשים בתוכנות כרייה. הקבוצה עשתה שימוש בשיטת process-hollowing, המשמשת בדרך כלל עבור קוד זדוני ואשר נצפתה במספר התקפות ממוקדות של עולם ה-APT, אבל מעולם לא נראתה לפני כן בהתקפות כרייה.

ההתקפה פועלת בדרך הבאה: מפתים את הקורבן להוריד ולהתקין תוכנת פרסום, כשתוכנת הכרייה מוחבאת בתוכה. מתקין תוכנת הפרסום מפעיל יישום לגיטימי של חלונות שמטרתו העיקרית היא להוריד את תוכנת הכרייה משרת מרוחק. לאחר ההפעלה, נפתח במערכת החלונות תהליך (process) לגיטימי והקוד הלגיטימי של התהליך הופך לקוד זדוני. כתוצאה מכך, תוכנת הכרייה פועלת במסווה של משימה לגיטימית, כך שלמשתמש לא מתאפשר לזהות אם התרחשה הדבקה. גם פתרונות אבטחה מתקשים לזהות את האיום הזה. בנוסף, אם המשתמש מנסה לבטל את התהליך, המערכת תאתחל את עצמה – כך העבריינים מגנים על הנוכחות שלהם במערכת למשך זמן רב יותר.

בהתבסס על התצפיות של מעבדת קספרסקי, השחקנים שמאחורי התקפות אלה כרו מטבעות Electroneum והרוויחו כמעט 7 מיליון דולר במהלך המחצית השניה של 2017 – סכום דומה למה שיוצרי קוד זדוני נהגו להרוויח.

"אנו רואים כי תוכנות הכופר תפסו את הספסל האחורי והן מפנות את הדרך לכורים. הדבר מגובה על ידי הסטטיסטיקות שלנו, אשר מצביעות על צמיחה רציפה של פעילות הכורים לאורך השנה, וכן בעובדה כי קבוצות של עברייני סייבר מפתחות שיטות כרייה משלהן והן החלו להשתמש בטכניקות מתוחכמות יותר להפצתן. ראינו כבר אבולוציה שכזו – האקרים של תוכנות כופר עשו שימוש באותם טריקים כאשר תוכנות אלו היו בצמיחה", אמר אנטון איבנוב, אנליסט קוד זדוני במעבדת קספרסקי.

על פי נתוני מעבדת קספרסקי, מעל ל-2.7 מיליון משתמשים הותקפו על ידי כורים זדוניים ב-2017. כמעט 50% יותר מאשר ב- 2016 (1.87 מיליון). הם נפלו קורבן באמצעות תוכנות פרסום, משחקים פרוצים ותוכנות פיראטיות, המשמשים עברייני סייבר כדי להדביק בחשאי מחשבים אישיים. גישה אחרת משתמשת בכרייה ברשת, באמצעות הטמנת קוד מיוחד בעמוד רשת נגוע. השימוש הנפוץ ביותר בתוכנת כרייה ברשת היה CoinHive, שנחשף באתרים פופולאריים רבים.

כדי להישאר מוגנים, מעבדת קספרסקי ממליצה על הצעדים הבאים:
אל תיכנסו לאתרים שאינם מוכרים, ואל תלחצו על באנרים ומודעות חשודות
אל תורידו ותפתחו קבצים בלתי מוכרים או ממקורות בלתי מורשים
התקינו פתרון אבטחה אמין כגון Kaspersky Internet Security שיזהה את האיומים האפשריים ויגן מפניהם, כולל תוכנות כרייה.

לארגונים, מעבדת קספרסקי ממליצה על הצעדים הבאים:
ביצוע סקירה וביקורת אבטחה על בסיס קבוע
התקנת פתרון אבטחה אמין על כל תחנות העבודה והשרתים, ווידוא שכל הרכיבים מופעלים כדי להבטיח הגנה מירבית.