سرقت رمزارز چیست و چگونه مانع این‌کار شویم؟

سرقت رمزارز چیست؟

• ‌سرقت رمزارز حمله‌ای است که نرم‌افزار استخراج‌کننده رمزارز بدون کسب اجازه از کاربر روی دستگاه او نصب و اجرا می‌شود. نرم‌افزار بدون اطلاع کاربر به‌طور پیوسته کار می‌کند و از پردازنده مرکزی یا پردازنده گرافیکی برای استخراج رمزارز استفاده می‌کند. در انتهای ماه کاربر مشاهده می‌کند که قبض برق مصرفی با مبلغ زیادی برای او ارسال شده و زمانی که کنتور خانه را بررسی می‌کند تعجب می‌کند که چرا مصرف برق به یکباره افزایش پیدا کرده است. بیت‌کوین یکی از شناخته‌ شده‌ترین نوع رمزرزها است، اما حملات سرقت رمزارز مختص به بیت‌کوین نیست و سایر ارزهای دیجیتال ممکن است قربانی این مدل حملات شوند. به‌طور مثال، مونرو (Monero) شهرت خاصی در این زمینه دارد، زیرا به‌گونه‌ای طراحی شده که افراد می‌توانند با استفاده از کامپیوترهای عادی و تجهیزات نه‌چندان قوی به استخراج رمزارز بپردازند. مونرو قابلیت زیادی در ناشناس ماندن دارد، به این معنی که رهگیری حمله‌‌کننده‌ای که نرم‌افزار استخراج مونرو را روی سیستم قربانی نصب می‌کند، کار دشواری است. مونرو یک آلت‌کوین (altcoin)است (به تمامی رمزارزها به جز بیت‌کوین، آلت‌کوین گفته می‌شود.). استخراج رمزارز شامل اجرای معادلات پیچیده ریاضی است که نیازمند حجم زیادی از توان پردازنده مرکزی است. در یک حمله عادی سرقت رمزارز، نرم‌افزار استخراج‌کننده از پردازنده مرکزی در بیشترین حالت ممکن بهره‌برداری می‌کند. در این حالت عملکرد سیستم به یکباره کاهش پیدا می‌کند، زیرا پردازنده مرکزی نمی‌تواند به درخواست‌های عادی پاسخ دهد و گرمای زیادی تولید می‌کند. در این وضعیت، ممکن است متوجه شوید که فن با سرعت بالاتری کار می‌کند تا سیستم را خنک کند. اگر سیستم یک لپ‌تاپ باشد، باتری آن ظرف مدت کوتاهی تخلیه می‌شود، در ارتباط با کامپیوترهای دسکتاپی مصرف بیش از اندازه برق روند محاسبه میزان مصرف را پلکانی می‌کند که در نهایت جریمه‌های سنگین را به همراه دارد. با توجه به این‌که فرآیند استخراج رمزارز با کامپیوترهای شخصی سود چندانی برای هکرها ندارد، به همین دلیل ترجیح می‌دهند برای سرقت رمزارز از تجهیزات سخت‌افزاری کاربران استفاده کنند تا بدون پرداخت هزینه‌ اضافی از بابت مصرف برق سود خالصی کسب کنند. 

چه دستگاه‌هایی در معرض حمله سرقت رمزارز قرار دارند؟

• هر دستگاهی که قابلیت اجرای نرم‌افزارهای کاربردی را داشته باشد، می‌تواند برای استخراج رمزارزها مورد سوء استفاده قرار گیرد. تنها کاری که باید انجام شود نصب نرم‌افزار استخراج‌کننده رمزارز روی دستگاه قربانی است. حمله‌های سرقت رمزارز می‌توانند روی دستگا‌هایی که قابلیت اجرای مرورگرها را دارند همچون ویندوز، مک، لینوکس، کروم باکس، دستگاه‌های اندرویدی، آی‌فون و آی‌پاد اجرا شوند. حملات سرقت رمزارز همیشه در قالب نصب پنهانی نرم‌افزارها روی دستگاه قربانی انجام نمی‌شوند، گاهی اوقات اسکریپت‌های استخراج‌کننده روی سایت نصب می‌شوند تا به محض باز شدن سایت توسط کاربر، اسکریپت مخرب شروع به بهره‌بردای از پردازنده مرکزی کند و زمانی‌که کاربر از سایت خارج شد، میزان مصرف پردازنده به حالت اولیه باز ‌گردد. گاهی اوقات کاربران نرم‌افزارهایی شبیه به فیلترشکن‌ها را روی کامپیوترهای خود نصب می‌کنند. برخی از این نرم‌افزارها با ارائه سرویس رایگان به کاربران بدون اطلاع شروع به سوء استفاده از منابع سخت‌افزاری می‌کنند. این گروه از نرم‌افزارها به جای پردازنده مرکزی از پردازنده گرافیکی کاربر برای انجام این‌کار استفاده می‌کنند و در حالت کلی چیزی در حدود 5 درصد از توان پردازنده گرافیکی را استفاده می‌کنند تا کاربر متوجه این موضوع نشود. گروه دیگری از نرم‌افزارهای سرقت رمزارز عملکردی شبیه به بدافزارها دارند. اگر هکری موفق شود یک حفره امنیتی را شناسایی کند یا کاربر را فریب دهد که بدافزار را روی سیستم خود نصب کند، قادر است اسکریپت استخراج‌کننده رمزارز را در پس‌زمینه سیستم کاربر اجرا کند و به بهترین شکل از سیستم او سوء استفاده کند. گروه دیگری از نرم‌افزارهای استخراج‌کننده رمزارز برای نصب روی گوشی کاربران و به شکل خاص برای دستگاه‌های اندرویدی طراحی شده‌اند. با توجه به این‌که توان پردازشی بیشتر گوشی‌های اندرویدی پایین است، این مدل حملات سود چندانی برای هکرها ندارد، اما در مقابل فشار بیش از اندازه‌ای به دستگاه همراه وارد می‌کند. 

سرقت رمزارز در مرورگر

• کارشناسان امنیتی به تازگی گونه جدیدی از حمله‌های سرقت رمزارز  گذاری را شناسایی کرده‌اند که از کدهای جاوااسکریپت استفاده می‌کنند و  قابلیت اجرا در مرورگرهای وب را دارد. مادامی که صفحه وب باز باشد، کد جاوااسکریپت می‌تواند درون مرورگر اقدام به استخراج رمزارز کند و توان پردازنده مرکزی را به کار ‌گیرد. زمانی که زبانه مربوطه در مرورگر بسته شود یا کاربر به زبانه دیگری برود، فرآیند استخراج متوقف می‌شود. به این مدل حملات، سرقت رمزارز گذاری می‌گویند.  CoinHive اولین اسکریپت استخراج رمزارز بود که تنها زمانی که با فروشگاه آنلاین Pirate Bay ادغام شد مورد توجه رسانه‌ها و کارشناسان امنیتی قرار گرفت. با این‌حال، اسکریپت‌های زیادی طراحی و درون وب‌سایت‌ها ادغام شده‌اند که قادر به انجام چنین کاری هستند. در نمونه‌های پیشرفته‌تر هکرها به وب‌سایت‌های معتبر و پربازدید حمله می‌کنند و به جای آن‌که آسیبی به وب‌سایت وارد کنند، تنها کد استخراج رمزارز را به سایت اضافه می‌کنند. البته برخی از مالکان وب‌سایت‌ها نیز اسکریپت‌های استخراج رمزارز را با هدف سود‌آوری به وب‌سایت خود اضافه می‌کنند. اسکریپت‌های استخراج‌کننده رمزارز مبتنی بر مرورگر در مقایسه با نمونه‌های دیگر خطرناک‌تر هستند، زیرا قابلیت اجرا روی هر نوع سیستمی را دارند، تنها کافی است کاربر وب‌سایت مربوطه را توسط یک مرورگر باز کند تا فرآیند سوء استفاده از توان پردازشی دستگاه کاربر آغاز شود. حتا اگر صفحه وب از طریق مرورگر سافاری در آی‌فون یا کروم روی گوشی اندرویدی باز شود، اسکریپت‌ها بازهم قابلیت اجرا دارند، مگر آن‌که کاربر به‌طور کامل اجرای اسکریپت روی مرورگر را مسدود کرده باشد که البته در این حالت برخی از سایت‌ها روی مرورگرها باز نمی‌شوند. 

چگونه مانع شکل‌گیری حمله‌های سرقت رمزارز در مرورگر شویم؟

• کارآمدترین روش مقابله با حملات سرقت رمزارز به‌کارگیری نرم‌افزارهای امنیتی است که به‌طور خودکار ماینرهای رمزارز در مرورگرها را مسدود می‌کنند. به‌طور مثال، Malwarebytes به شکل خودکار CoinHive و سایر اسکریپت‌های استخراج‌کننده رمزارز را مسدود می‌کند و مانع اجرای آن‌ها در مرورگر می‌شود. دقت کنید ضدویروس دینفدر ویندوز 10 نمی‌تواند تمامی بدافزارهای استخراج‌کننده مخصوص مرورگرها را شناسایی و مسدود کند و در این زمینه عملکرد محدودی دارد. برخی از شرکت‌های امنیتی نرم‌افزارها یا افزونه‌های ویژه مسدود کردن فعالیت اسکریپت‌های استخراج‌کننده رمزارزها را برای مرورگرها طراحی کرده‌اند. افزونه‌های فوق به کاربران اجازه می‌دهند فهرست سیاهی از اسکریپت‌های استخراج‌کننده رمزارزها ایجاد کنند. خوشبختانه در تجهیزات همراه (گوشی‌ها و تبلت‌های اندرویدی، آی‌فون و آی‌پاد) زمانی که کاربر صفحه وبی که از اسکریپت‌های استخراج‌ رمزارز استفاده می‌کند را ترک می‌کند (زبانه جدیدی باز می‌کند)، سیستم‌عامل اجازه نمی‌دهد زبانه‌های مخرب در پس‌زمینه به کار خود ادامه دهند و توان پردازنده مرکزی را مصرف کنند. با این‌حال، اگر بسته امنیتی نداشته باشید که فعالیت اسکریپت‌های استخراج‌کننده رمزارز را مسدود نکند، بازهم جای نگرانی وجود دارد. 

بدافزار سرقت رمزارز

• بدافزارهای سرقت رمزارز به شکل عجیبی رواج پیدا کرده‌اند. باج‌افزارها با ورود به سامانه قربانیان، قفل کردن فایل‌ها و درخواست باج در قالب رمزارز از کاربران اخاذی می‌کنند، اما بدافزارهای سرقت رمزارز به این شیوه رفتار نمی‌کنند و در پس‌زمینه سامانه‌های قربانیان پنهان می‌شوند و به شکل خاموش از سامانه قربانیان سوء استفاده می‌کنند. هر زمان استخراج با موفقیت انجام شود، نتیجه برای هکر ارسال می‌شود. کاربران تنها زمانی متوجه وجود بدافزارهای استخراج‌کننده رمزارز روی سامانه خود می‌شوند که عملکرد سامانه کند شود یا پردازه‌ای 70 تا 90 درصد سیکل کاری پردازنده مرکزی را به خود اختصاص دهد. بدافزارهای استخراج رمزارز مشابه سایر بدافزارها از یک آسیب‌پذیری استفاده می‌کنند یا کاربر را فریب می‌دهند تا نرم‌افزار مخرب را روی سامانه خود نصب کند. در مقطع فعلی پیشنهاد نصب فیلترشکن رایگان برای دسترسی آزاد به اینترنت رایج‌ترین حربه‌ای است که هکرها از آن استفاده می‌کنند. سرقت رمزارز به نسبت سایر بردارهای حمله، مکانیزم جدید و کم دردسری است، زیرا هکرها سامانه قربانیان را آلوده می‌کنند، اما هیچ‌ فعالیت غیرقانونی انجام نمی‌دهند و این کاربران هستند که با اختیار خود و نادانسته بدافزاری را روی سامانه نصب می‌کنند که ممکن است آسیب جدی به سامانه وارد کند. برخی از برنامه‌نویسان تلاش می‌کنند کدهای استخراج‌کننده‌ رمزارز را به شکلی در نرم‌افزارهای قانونی وارد کنند تا امکان آپلود آن‌ها در فروشگاه‌های نرم‌افزاری معتبر بدون مشکل فراهم شود. گوگل برنامه‌های اندرویدی که استخراج‌کننده‌های رمزارز را در پس‌زمینه کدها پنهان کرده‌اند از فروشگاه پلی‌استور حذف می‌کند، اپل نیز سیاست مشابهی دارد و هرگونه برنامه مک با چنین ویژگی‌هایی را از فروشگاه اپ‌استور حذف می‌کند. 

چگونه مانع فعالیت بدافزارهای سرقت رمزارز شویم؟

بدافزار سرقت رمزارز عملکردی مشابه با سایر بدافزارها دارد. به همین دلیل پیشنهاد می‌کنیم به نکات زیر دقت کنید:

• برای محافظت از دستگاه در برابر این گونه حمله‌ها، باید مطمئن شوید که جدیدترین به‌روزرسانی‌های امنیتی را نصب کرده‌اید. 
•  نرم‌افزارها باید از منابع معتبر و شناخته شده‌ای دریافت شوند. 
•  کاربران سیستم‌عامل ویندوز بهتر است از نرم‌افزارهایی شبیه به Malwarebytes برای مسدودسازی فعالیت استخراج‌کننده‌های رمزارزها استفاده کنند. نسخه ویژه سیستم‌عامل مک نرم‌افزار فوق را برای مسدودسازی فعالیت استخراج‌کننده‌های رمزارز در اختیار کاربران قرار دارد. اگر مجبور هستید نرم‌افزارهایی خارج از فروشگاه مک را دانلود و نصب کنید، بهتر است Malwarebytes را روی سیستم خود نصب کنید.  خوشبختانه این امکان وجود دارد تا Malwarebytes را همراه با نرم‌افزارهای ضدویروس رایج استفاده کرد. 
•  روی دستگاه‌های اندرویدی بهتر است تنها از فروشگاه گوگل پلی یا کافه‌بازار نرم‌افزارهای موردنیاز را دانلود کنید. اگر نرم‌افزاری از منابع غیرمعتبر دانلود شود شانس آلودگی به بدافزارها دوچندان می‌شود. اگر نرم‌افزارها خارج از فروشگاه گوگل پلی دانلود شوند، گوگل نمی‌تواند کمک چندانی به شما کند. اگر نرم‌افزار استخراج‌کننده رمزارزی روی فروشگاه گوگل آپلود شود و کاربران آن‌را دانلود و نصب کنند، گوگل پس از شناسایی برنامه، در صورت لزوم قادر است برنامه مخرب نصب شده روی دستگاه کاربران را پاک کند. 

کلام پایانی

• اگر به نرم‌افزار Task Manager ویندوز یا Activity Monitor مک مراجعه کنید، هر زمان با کندی سرعت یا گرمای بیش از اندازه سیستم روبرو شدید، به سادگی قادر به شناسایی پردازه دردسرآفرین هستید. ابزارهای یاد شده نام پردازه و مکان فایلی که روی هارددیسک ذخیره شده‌اند را نشان می‌دهند.
• اگر پردازه ناآشنایی پیدا کردید که بیش از اندازه از پردازنده مرکزی استفاده می‌کند، نام پردازه را گوگل کنید تا ببینید یک پردازه قانونی در حال اجرا است یا بدافزاری موفق شده روی سامانه نصب شود. گاهی اوقات پردازه‌های سیستم‌عامل حجم زیادی از توان پردازنده مرکزی را به خود اختصاص می‌دهند، اما حالت فوق گذرا است و پس از مدت زمان مشخصی همه چیز به حالت عادی باز می‌گردد. در شرایطی که بیشتر بدافزارهای استخراج‌کننده رمزارز طماع هستند و تمامی توان پردازنده مرکزی را مصرف می‌کنند، اما برخی دیگر از تکنیک استفاده محدود (throttling) استفاده می‌کنند.
• به‌طور مثال، آن‌ها ممکن است تنها 50 درصد توان پردازنده مرکزی را به جای 100 درصد استفاده کنند تا عملکرد سامانه قربانی با مشکل خاصی روبرو نشود و نرم‌افزار بتواند مدت زمان بیشتری بدون شناسایی به کار خود ادامه دهد. بنابراین اگر در مواردی میزان استفاده از پردازنده مرکزی در وضعیت صد در صد قرار ندارد، بازهم ممکن است اسکریپت‌های استخراج رمزارز روی یک صفحه وب فعال باشند و از پردازنده مرکزی سیستم استفاده کنند