Вместо предисловия

О шифровальщиках и троянских конях мы недавно поговорили, время поговорить о еще одном довольно широко распространенном компьютерном зле – майнерах криптовалют.

Когда криптовалюты только появились, не так уж и много народа верило в эту затею. Однако когда биткоин начал бить рекорды по обменному курсу, в майнинг ударилась масса людей. Кто-то ставил на ночь свои игровые компьютеры «майнить биток», кто-то собирал специальный компьютер для майнинга, кто-то покупал асики (специальные устройства, которые ничего, кроме майнинга, не делают). Были (и остаются) умники, которые настраивали майнинг на работе – новости о таких господах время от времени мелькают и по телевизору, и в Интернете.

Однако все это, несмотря на то, что направлено непосредственно на «добычу» криптовалют, не слишком выгодно: майнинг идет с весьма серьезными нагрузками на компьютер, который при этом пожирает массу электроэнергии. А за электричество, конечно же, надо платить. В итоге «выхлоп» от легального занятия майнингом ненамного превышает счет за электроэнергию – а ведь надо еще поддерживать в нормальном состоянии компьютер, который добывает вам цифровые деньги, ремонтировать выходящие из строя узлы (а при активном использовании износ идет быстрый и жесткий). Да уж…

Наиболее «светлые» головы вирусописательства подумали и решили: а зачем майнить самостоятельно? Зачем платить за электричество самому? Можно ведь написать модуль, который будет заражать чужой компьютер и занимать его вычислительные мощности в пользу написавшего. А счета за электричество будут приходить хозяину зараженного компьютера. Так и родилась идея вируса-майнера.

«Дроппер» от слова «drop»

Естественно, сам по себе майнер на вашем компьютере не установится – его надо скачать, установить, запустить, замаскировать под что-то безобидное, настроить – в общем, масса разных акций для того, чтобы он работал и не вызывал подозрений. И как, скажете вы, всего этого добиться?

Довольно просто. Заставить вас запустить приложение, которое «доставит» на ваш компьютер вирус-майнер, установит его, настроит, внесет в исключения вашего антивируса и т.п. И не просто заставить вас его запустить (этого мало), но запустить его с правами администратора. Только запущенное с правами администратора приложение способно внести на ваш жесткий диск все изменения, которые нужны злоумышленнику.

Распространять такой вирус через вложения в электронной почте или фишинговые ссылки неэффективно – никто же не будет запускать какое-то левое приложение с правами админа, так? И как же быть? Да просто. Прятать вирус в каком-то приложении, которое вы в любом случае запустите с правами администратора. Как правило, такие приложения – разные кейгены и кряки, а кроме них – дистрибутивы некоторых других приложений. Такие приложения называются «дропперы», от английского drop – «сбросить». Единственная функция дроппера – доставить на ваш компьютер установщик майнера и набор скриптов для его настройки. Как только вы запускаете такое приложение с правами администратора, тут же начинается бешеная активность вашего трафика, активно устанавливаются и выполняются какие-то модули, пишутся многочисленные ключи в реестр. В результате вы становитесь счастливым обладателем вируса-майнера. Поздравляю =).

Помните главное правило компьютерного пирата: кейгенам и крякам (кроме, пожалуй, только патчеров) не нужны права администратора. Если генератор ключей требует запуска с правами администратора, значит он собирается менять содержимое вашего диска. Подумайте – а оно вам надо? А может там не майнер будет, а шифровальщик? В систему-то вы файл этот уже пустили, антивирусы он уже обошел – и теперь заражение вашего компьютера зависит только от вас, и больше ни от кого.

Как работает майнер?

Многие мирно сосуществуют с вирусами этого типа годами. Кто-то и вообще их не замечает (железо мощное, что там в фоне компьютер делает, пользователь не обращает внимания). Но основная причина долгой жизни майнеров на компьютерах пользователей – относительная незаметность их работы. Они созданы таким образом, что все ресурсы системы не занимают, т.е. пользователь вполне себе комфортно работает на своей машине, а майнер «отъедает» ровно столько процессорной мощности и оперативной памяти, сколько нужно для того, чтобы его работа не была заметной. Доходит до того, что майнер может на время отключиться, если пользователь запускает ресурсоемкое приложение – компьютерную игру, Adobe Photoshop с аппаратной акселерацией работы с графикой (технология CUDA), 3D-редактор и т.п.

Майнер всегда запускается вместе с системой – иначе он просто не будет работать, ведь не будете же вы специально запускать эту программу. То есть он должен присутствовать в автозагрузке приложений или служб – как правило, в последнем, так как этот тип автозагрузки сложнее мониторить и намного сложнее принимать решение об отключении автозагрузки службы, чем приложения. По сути, из автозагрузки приложений можно выключить абсолютно все без вреда для системы, а вот если «погасить» загрузку какой-то службы, можно потерять и саму систему.

После того, как майнер загрузился в память, он начинает делать то, для чего создан – использовать ваши вычислительные мощности для генерации криптовалюты. С какой интенсивностью он будет это делать – зависит от настроек, но обычно обнаруживать себя он не дает.

Важно сказать о бот-сетях. Раньше мы уже о них говорили (когда обсуждали троянские вирусы). Майнеры также могут объединяться в бот-сети для более эффективного майнинга криптовалют; некоторые бот-сети достигают размеров нескольких тысяч машин.

И как же его обнаружить?

Не так-то просто обнаружить майнер =). Тем более, что антивирусы не определяют майнеры как вирусы, так как это по сути не вредоносные программы (мало ли, может вы сами майните), хотя при сканировании системы вполне могут выдать отчет о том, что обнаружены подозрительные программы, которые что-то там майнят.

Дропперы легко определяются антивирусами, но, как правило, пользователь относится к предупреждениям антивируса при установке взломанного ПО недоверчиво: мол, это специально в антивирусы встроено, чтобы с пиратским софтом бороться. На самом деле антивирусу все равно, кейген он сканирует или образ «официального» дистрибутива MS Windows: если там есть вирус или подозрительная программа, он просигналит.

Если же вы установили такую программу, это автоматически означает, что вы допустили в свою систему вирус. Майнер это, троян или что-то еще – выяснить можно только, запустив полное сканирование авнтивирусной программой.

Вообще, я рекомендую регулярное антивирусное сканирование – просто для того, чтобы знать, какие программные фантомы прописываются в вашей системе. Активность многих программ в настоящее время очень просто скрыть, а сюрпризы в виде увеличившегося счета за электричество обычно никто не связывает с работой компьютера. После того, как антивирус отсканирует компьютер, вы получите отчет, в котором, кроме однозначных угроз, хороший антивирус перечислит и программы подозрительные – в их число обычно включаются и майнеры. Если вы сами майнингом криптовалют не занимаетесь – значит, кто-то наживается за ваш счет, и пришло время обломать его нетрудовые доходы. Удаляйте без сожаления все то, что вы не ставили, не давайте злоумышленникам шансов заработать на вашей доверчивости.

И здоровья вашей системе, программного и аппаратного.

Станислав Корб, ©2018

Знакомство с этой группой зловредов я начну с поучительной истории.

Однажды ко мне обратился мой хороший знакомый с просьбой разобраться, как оказалось так, что с банковского счета его небольшой фирмы была списана вся имевшаяся там сумма. Расследование оказалось недолгим: оказалось, что все деньги были просто перечислены через клиент-банк на другой банковский счет, оттуда – на какую-то банковскую карту, зарегистрированную на бомжа, ну а после этого банально получены наличкой через банкомат. Естественно, в осуществлении этой схемы тут же заподозрили бухгалтера фирмы, но она оказалась не при чем. На компьютере бухгалтера был обнаружен хитрый вирус-бэкдор, который позволил злоумышленнику зайти на компьютер бухгалтера во время обеденного перерыва и провести банковский платеж. Бухгалтер (да и директор компании) ничего не подозревал до того момента, когда потребовалось оплатить очередные услуги – тут то и оказалось, что банковский счет фирмы пуст, а денежек уже давно и след простыл.

Итак, бэкдоры. Это довольно большая группа вирусов, которые объединяет одно общее свойство: их основное предназначение. Это предназначение – получить доступ к атакуемому компьютеру или к тем сведениям, которые пользователь на нем хранит. Другое название бэкдоров – трояны (троянский конь – способ овладения городом Троя, когда греки спрятались внутри массивной фигуры коня, которого они оставили под стенами Трои; доверчивые троянцы внесли его в город, а ночью греки выбрались из коня и открыли ворота города поджидавшим их войскам).

Троянские программы принято делить на типы по тому, каким образом они наносят вред. Вот эта классификация:

1) Программы для обеспечения удаленного доступа к компьютеру, или бэкдоры в узком смысле. Методов «открывания» дверей очень много – начиная от открытия какого-то порта, и заканчивая установкой специализированного ПО или протокола (типа стандартного RDP), через которое злоумышленник может беспрепятственно проникать на компьютер тогда, когда он включен.

2) Программы для сбора и передачи злоумышленнику данных, которые вводятся с клавиатуры (кейлоггеры). Работа таких программ обычно почти никак не обнаруживается, все, то они делают – дублируют нажатия клавиш на клавиатуре компьютера (и, некоторые из них, могут еще записывать движения курсора мышки) в особый лог-файл, который, с определенной периодичностью, отправляется злоумышленнику. Для чего это делается? Например, вы совершаете покупки в интернете, и вводите с клавиатуры данные своей банковской карты. Эту информацию кейлоггер передаст злоумышленнику, и, кроме вас, использовать карту сможет и он. Именно поэтому сейчас более безопасно использовать системы платежей, привязанные к определенному смартфону и проходящие аутентификацию по отпечатку пальцев – они практически полностью невосприимчивы к взлому. Но традиционных пользователей компьютеров, вручную вводящих данные своих банковских карт, еще очень много.

3) Деактивация систем безопасности компьютера (отключение антивируса, сетевого экрана, файерволла и т.п.) – обычно предшествует внедрению бэкдора, но может быть и отдельной функцией, например, для обеспечения возможности DDoS-атаки. Логично, что при активной системе безопасности заразить компьютер совсем не просто, поэтому атака может состоять из нескольких этапов: проникновение программы-деактиватора; деактивация защиты; загрузка основного кода вируса и его установка в системе; «обучение» охранных систем компьютера взаимодействию с зловредной программой (включение ее в список исключений); запуск систем безопасности. Таким образом компьютер заражается так, что заподозрить факт заражения практически невозможно – ведь системы безопасности компьютера продолжают работать, а сама атака обычно длится очень непродолжительное время. Как правило, таким образом атакуются сервера, контроль над которыми злоумышленник планирует осуществлять продолжительное время.

4) Программы для распространения какого-то контента. При этом ваш компьютер становится ретранслятором спама: для его распространения могут использоваться ваши мессенджеры, электронная почта, аккаунты в социальных сетях, и т.п. Как правило, распространяется два вида контента – или банальный спам, или какой-то вирус, причем не обязательно тот же, которым заражена ваша машина.

5) Организация распределенных вычислений. При этом ваш компьютер становится участником бот-сети, основной функцией которой является осуществление крупных массивов вычислений (например, взлом пароля методом брут-форса). Бот-сети – это прекрасное изобретение современных хакеров, которые делают взлом казавшихся до текущего момента стойкими алгоритмов шифрования относительно простым. Представьте: у вас имеется файл, зашифрованный ключом длиной 2048 бит. Для брут-форса этого ключа требуется 1 000 000 000 (1 миллиард лет). А теперь представьте, что для его брут-форса используется не один компьютер, а 100 000. Каждому из компьютеров передается файл и назначаются границы брут-форсинга (от значения Х0 до значения Х1 компьютеру 1, от значения Х1 до значения Х2 компьютеру 2, и так далее). При этом подходе требуется уже не 1 миллиард а 1000 лет. Все равно, много, не так ли? А если вывести каждый брут-форс отдельным потоком, и сделать каждый поток использующим одно ядро процессора? Скажем, у нас имеется 100 000 двухъядерных процессоров. Это уже 500 лет. А если пойти еще дальше, и внедрить виртуализацию? Каждому ядру назначить по десятку независимых виртуальных потоков? Это уменьшит время перебора в 20 раз, т.е. с 500 до 25 лет. Видите, как из невообразимого одного миллиарда лет мы дошли до уже вполне приемлемых 25? А если бот-сеть состоит не из 100 000, а из полумиллиона машин? Это дает возможность «ломать» файл, защищенный, казалось бы, невообразимо надежным шифрованием, за 2 месяца! Вот почему очень у многих людей «живут» троянцы, которые вообще не проявляют никакой зловредности – их функция заключается в том, чтобы предоставлять злоумышленнику доступ не к вашему компьютеру как таковому, а к его вычислительным мощностям.

Насколько опасен каждый из этих типов троянцев? Увы, но нельзя говорить, что какой-то из типов троянцев более опасен, а какой-то – менее. Опасны они все. Просто у них разные функции, и, скажем, если ваш компьютер просто ретранслирует какое-то сообщение, заражая троянцем другие машины, то лично вас прямой вред от этого может и не коснуться, но совокупный вред, который работа троянца на вашем компьютере нанесет в целом, будет велик. Исходя из этого, любой тип бэкдора должен незамедлительно обнаруживаться и удаляться.

Распространение троянских вирусов происходит обычно также, как распространение других вирусных программ, но всегда сопряжено с определенными факторами. Главный из этих факторов – первый запуск троянской программы или ее загрузчика в вашей системе должен быть однозначно совершен или санкционирован вами. Если вы не запустите троянца или программу, которая скачает и установит его в ваш компьютер, он не сможет у вас появиться. Поэтому, как и в случае с вирусами-шифровальщиками, важным моментом защиты является внимательность и правильная работа firewall.

Другой фактор – это ваша антивирусная защита. В случае с троянскими программами антивирусы справляются очень хорошо, так как алгоритмы эвристического анализа почти безошибочно определяют программу, как зловредную. Установив хороший антивирус с постоянно обновляемыми базами и активированными функциями эвристического и логического анализа, вы обезопасите себя от внедрения троянского коня почти на 100%.

Третий фактор – это макросы и встроенный язык Visual Basic, используемый в приложениях Microsoft Office. Спрятать в макросе загрузчик вредоносного кода злоумышленники догадались на второй день после того, как Microsoft начала поддерживать макросы в Office. Получая по почте документ MS Word или таблицу MS Excel, будьте внимательны, и, прежде чем разрешать выполнение макросов этим документом, проверьте его на вирусы. Современные продукты MS Office поддерживают функцию защищенного просмотра – она активируется для любых файлов, скачанных из интернета. Для просмотра присланных документов защищенного просмотра обычно хватает, если источник файла является подозрительным или вам не известен – лучше не включать редактирование документа и не разрешать исполнение макросов.

Для того, чтобы на вашем компьютере не было «сюрпризов» в виде троянских программ, следуйте трем простым правилам.

Правило первое. На вашем компьютере должен стоять хороший антивирус со свежими антивирусными базами и включенными функциями эвристического анализа.

Правило второе. Еженедельное сканирование диска на предмет поиска вирусов. Понимаю, что сканирование может занимать много времени, однако оно необходимо, и необходимо регулярное. Запланируйте антивирусу сканирование всех ваших дисков, скажем, на ночь, и просто оставьте компьютер включенным этой ночью. Для того, чтобы во время работы компьютер нельзя было взломать извне, сеть от него можно отключить. При сканировании компьютера лучше не оставлять опцию автоматического удаления найденных угроз – некоторые слишком подозрительные антивирусы могут удалить и нужные файлы, заподозрив в них вирусы – поэтому лучше, если результатом сканирования будет формирование отчета с обнаруженными угрозами, по каждой из которых вы будете принимать решение самостоятельно.

Правило третье. Внимательное отношение к трафику входящих файлов и сообщений и отфильтровывание тех, которые явно несут вредоносное ПО. Об этом я уже говорил ранее на примере вирусов-шифровальщиков.

И помните. Троянские программы создаются не забавы ради, их основная функция – извлечение пользы из ваших данных, вашего компьютера. Поэтому «сосуществовать» с ними категорически нельзя. Восстановление данных и восстановление украденных денег – это совершенно разные задачи, лучше не доводить до того, чтобы киберпреступники имели возможность украсть ваши реальные деньги с использованием вашего же компьютера.

Безопасного вам интернета и не терять ваши данные!

Станислав Корб, ©2018