Σε νέα «μόδα» μεταξύ των ψηφιακών εγκληματιών φαίνεται να έχει εξελιχθεί το «mining» («εξόρυξη») ψηφιακών νομισμάτων όπως το Bitcoin, χρησιμοποιώντας υπολογιστές που έχουν «καταληφθεί» εν αγνοία των ιδιοκτητών τους και χρησιμοποιούνται για αυτή τη δουλειά.
Σύμφωνα με ερευνητές της Kaspersky Lab, οι ψηφιακοί εγκληματίες έχουν αρχίσει να χρησιμοποιούν εξελιγμένες μεθόδους «μόλυνσης» και τεχνικές δανεισμένες από στοχευμένες επιθέσεις, προκειμένου να εγκαταστήσουν λογισμικό mining σε υπολογιστές που έχουν δεχτεί επίθεση εντός οργανισμών.
Η πιο επιτυχημένη ομάδα που παρατηρήθηκε από τηνKaspersky Lab κέρδισε τουλάχιστον 7 εκατομμύρια δολάρια εκμεταλλευόμενη τα θύματά της σε μόλις έξι μήνες το 2017.
Όπως αναφέρει σε ανακοίνωσή της η Kaspersky, οι εγκληματίες έχουν αρχίσει να χρησιμοποιούν λογισμικό εξόρυξης στις επιθέσεις τους, οι οποίες, όπως και τα προγράμματα ransomware, έχουν ένα απλό μοντέλο δημιουργίας εσόδων.
Αλλά, σε αντίθεση με τα ransomware, δεν καταστρέφει ολοκληρωτικά τους χρήστες και είναι σε θέση να παραμείνει μη ανιχνεύσιμο για μεγάλο χρονικό διάστημα χρησιμοποιώντας την ισχύ του υπολογιστή. Τον Σεπτέμβριο του 2017, η Kaspersky Lab κατέγραψε μια άνοδο των miners που άρχισαν να εξαπλώνονται ενεργά σε όλο τον κόσμο και προέβλεψε την περαιτέρω ανάπτυξή τους.
Οι τελευταίες έρευνες αποκαλύπτουν ότι η ανάπτυξη αυτή δεν έχει μόνο συνεχιστεί, αλλά έχει αυξηθεί και επεκταθεί.
Οι ερευνητές της Kaspersky Lab προσδιόρισαν πρόσφατα μια ομάδα ψηφιακών εγκληματιών με τεχνικές APT στο οπλοστάσιό τους για να «μολύνουν» τους χρήστες με miners.
Χρησιμοποιούν τη μέθοδο process-hollowing που χρησιμοποιείται συνήθως σε κακόβουλο λογισμικό και έχει παρατηρηθεί σε μερικές στοχευμένες επιθέσεις από φορείς επιθέσεων τύπου APT, αλλά δεν έχει παρατηρηθεί ποτέ σε επιθέσεις εξόρυξης.
Η επίθεση λειτουργεί με τον ακόλουθο τρόπο: το θύμα προσελκύεται ώστε να «κατεβάσει» και να εγκαταστήσει λογισμικό διαφήμισης με το miner installer κρυμμένο στο εσωτερικό του. Αυτό το πρόγραμμα εγκατάστασης αποβάλλει ένα νόμιμο βοηθητικό πρόγραμμα των Windows, με κύριο σκοπό τη λήψη του ίδιου του miner από έναν απομακρυσμένο server.
Μετά την εκτέλεσή του, ξεκινά μια νόμιμη διαδικασία συστήματος και ο νόμιμος κώδικας αυτής της διαδικασίας αλλάζει σε κακόβουλο κώδικα. Ως αποτέλεσμα, το minerλειτουργεί με το πρόσχημα μιας νόμιμης εργασίας, οπότε θα είναι αδύνατο για έναν χρήστη να αναγνωρίσει εάν υπάρχει «μόλυνση» εξόρυξης. Είναι επίσης δύσκολο για λύσεις ασφάλειας να ανιχνεύσουν αυτήν την απειλή. Επιπλέον, τα miners σηματοδοτούν αυτή τη νέα διαδικασία με τρόπο που περιορίζει οποιαδήποτε ακύρωση εργασιών.
Αν ο χρήστης προσπαθήσει να σταματήσει τη διαδικασία, το σύστημα του υπολογιστή θα επανεκκινήσει. Ως αποτέλεσμα, οι εγκληματίες προστατεύουν την παρουσία τους στο σύστημα για μεγαλύτερο και παραγωγικότερο χρονικό διάστημα.
Με βάση τις παρατηρήσεις της Kaspersky Lab, οι φορείς πίσω από αυτές τις επιθέσεις εξόρυξαν νομίσματα Electroneum και κέρδισαν σχεδόν 7 εκατομμύρια δολάρια κατά το δεύτερο εξάμηνο του 2017, μέγεθος συγκρίσιμο με τα ποσά που κέρδιζαν οι δημιουργοί προγραμμάτωνransomware.
Συνολικά, 2,7 εκατομμύρια χρήστες δέχτηκαν επίθεση από κακόβουλα minersτο 2017, σύμφωνα με τα δεδομένα της Kaspersky Lab- μέγεθος περίπου 50% υψηλότερο σε σύγκριση με το 2016 (1,87 εκατ.).
Οι άνθρωποι πέφτουν θύματα εξαιτίας adware, πειρατικών παιχνιδιών και πειρατικού λογισμικού που χρησιμοποιούν οι ψηφιακοί εγκληματίες για να «μολύνουν» κρυφά τους υπολογιστές τους. Μια άλλη προσέγγιση που χρησιμοποιήθηκε ήταν η διαδικτυακή εξόρυξη μέσω ειδικού κώδικα που βρίσκεται σε «μολυσμένη» ιστοσελίδα.
Το πιο ευρέως χρησιμοποιούμενο miner ήταν το CoinHive, που ανακαλύφθηκε σε πολλές δημοφιλείς ιστοσελίδες.
