Đào tiền ảo trộm (cryptojacking) là mưu sinh lợi nhuận cho nhà phát triển mã độc, nhưng nó đi kèm một vấn đề. Các cryptojacker chiếm dụng nhiều tài nguyên bộ xử lý, khiến cuộc tấn công rất dễ nhận thấy cho nạn nhân. Một chủng loại cryptojacker đã phát triển cách tránh phát hiện bằng cách che giấu các dấu hiệu báo hiệu từ người dùng.
Sự xuất hiện của Skidmap
Skidmap là mã độc dựa trên Linux đào tiền ảo trên máy tính và server mà không có sự cho phép của chủ sở hữu. Điều khiến Skidmap nguy hiểm là loạt tính năng nâng cao khiến nó khó định vị và ngăn chặn.
Che giấu sử dụng CPU thực tế
Thứ nhất, nó có thể che giấu việc sử dụng CPU. Nó làm điều này bằng cách dùng rootkit che giấu mức độ bộ xử lý đang được dùng. Điều này tiện lợi cho Skidmap, vì cuộc tấn công làm giảm hiệu suất sẽ khiến người dùng nhìn vào tài nguyên hệ thống. Nếu họ thấy mức sử dụng CPU bị giả mạo, họ sẽ cho rằng sự chậm chạp do phần khác của máy tính, từ đó chuyển sự chú ý khỏi mã độc.
Che giấu hoạt động mạng
Cryptojacker cần gửi dữ liệu để đào tiền cho chủ sở hữu. Điều này cũng có thể là "dấu vân tay" tiết lộ vị trí của cryptojacker. Do đó, nó dùng rootkit để che giấu lưu lượng mạng để người dùng không thể phát hiện giao tiếp đi và đến từ mã độc.
Tồn tại sau khi dọn dẹp
Skidmap cũng có thể lây nhiễm hạt nhân (kernel) của hệ điều hành, nghĩa là khó dọn dẹp nó hoàn toàn. Dù người dùng quản lý được, Skidmap có nhiều cách lẻn qua mạng, nghĩa là nó có thể lây nhiễm lại thiết bị đã dọn sạch.
Tại sao nó nhắm vào Linux?
Thông thường, mã độc kiếm tiền cho nhà phát triển nhắm vào Windows. Điều này là do tỷ lệ áp dụng cao của Windows; càng nhiều máy tính chạy Windows, mã độc lan rộng hơn, và nhà phát triển kiếm nhiều tiền hơn. Vậy tại sao cái này nhắm vào Linux – hệ điều hành được trích dẫn là khó nhất để lan truyền mã độc?
Các nhà đào tiền ảo hợp pháp biết điểm yếu của các hệ điều hành phổ biến và đã củng cố bằng Linux cho nhu cầu đào của họ. Điều này làm cho cuộc tấn công mã độc ít có thể xảy ra hơn so với máy Windows.
Kết quả, các thiết bị đào nặng (mining rigs) thường chạy Linux. Đây là mục tiêu chính cho nhà phát triển cryptojacker, những người muốn "móc túi" sức mạnh xử lý của rig để kiếm tiền cho mình.
Điều gì nên làm trước Skidmap
Do bản chất lách luật của Skidmap, khuyến nghị cao là không cho phép nó lấy điểm tựa trên hệ thống của bạn. Vì vậy, các thực hành phổ biến để tránh nhiễm độc hại được khuyến nghị ở đây.
Hãy cập nhật server và hệ thống của bạn để chống lại mối đe dọa này. Cố gắng không tải xuống và mở file trên máy đào tiền ảo hoặc thậm chí máy tính trên cùng mạng. Đừng cấp quyền root cho file không xác định. Máy tính của bạn có thể chạy Linux, nhưng ngày nay nó không cho bạn miễn nhiễm mã độc!
Phân tích kế hoạch của Skidmap
Skidmap là ví dụ tồi tệ của cryptojacking nâng cao. Nó có thể đào sâu vào kernel Linux, sống sót sau nhiều lần xóa, và che giấu dấu vết bằng thông tin CPU giả và lưu lượng mạng giả. Nhiễm Skidmap khó loại bỏ, vì vậy hãy cố gắng ngăn chặn nhiễm ban đầu.
Tin này có khiến bạn cảnh giác hơn về nhiễm cryptojacker? Hãy cho chúng tôi biết bên dưới.