Proteggi la tua azienda dagli attacchi di malware in criptovaluta

La criptovaluta potrebbe essere il successo più notevole della tecnologia blockchain, ma non tutto è oro. I minatori hanno trovato un nuovo modo di fare soldi da soli, riducendo al contempo i loro costi. È facile: ti fanno solo pagare per questo. Quello che sta succedendo è che gli hacker installano codice su un sito in cui è probabile che tu visiti per un lungo periodo di tempo. Mentre sei lì, un annuncio infetto inietterà software di mining di criptovaluta nel tuo computer, dove estrarrà valuta mentre stai cercando di fare qualcos'altro.

Questa pratica è apparsa su YouTube a metà gennaio ed è stata segnalata per la prima volta dai ricercatori di Trend Micro, i quali hanno affermato che la rete pubblicitaria DoubleClick era stata abusata per fornire malware per il mining di valuta. La ragione apparente era che le persone tendono a rimanere su YouTube per un lungo periodo, dando al mining di valuta più tempo per lavorare.

Il malware proviene da CoinHive che è diventato popolare tra gli hacker. CoinHive consente al software di mining di funzionare sui computer di altre persone e utilizzare le loro risorse. Secondo quanto riferito, l'estrazione di valuta può assorbire circa l'80% delle risorse di un computer, il che lascia abbastanza disponibile che la maggior parte delle persone non noterebbe ancora durante l'uso occasionale.

Il costo aziendale

Ma la tua organizzazione noterà, soprattutto se il mining illecito di criptovaluta inizia a diffondersi sulla tua rete o specialmente sui tuoi server. Anche se stai pagando per i servizi del data center, quella potenza di calcolo ti costa denaro per l'acquisto e se perdi capacità a causa di software non autorizzato che consuma i cicli della CPU, potresti dover acquistare più capacità.

È anche problematico se i tuoi server o anche i tuoi computer d'ufficio sono così impantanati che non possono consegnare; quindi inizierai ad avere problemi nel gestire i processi chiave, il che significa che potresti perdere affari. Anche se quel carico dell'80% potrebbe non essere notato in un computer consumer, probabilmente non stai acquistando più potenza di elaborazione di quella necessaria per l'uso aziendale, quindi è molto più probabile che sia un problema. Ad esempio, durante i periodi di punta in cui i server normalmente funzionerebbero quasi completamente, all'improvviso diventeranno semplicemente piatti.

A complicare il problema è il fatto che molti hacker che usano CoinHive lo distribuiscono anche dai server di altre persone. Ciò significa che, se non stai proteggendo i tuoi server pubblici, potresti scoprire che un hacker lo ha installato sul tuo sito web. Potresti finire inavvertitamente passandolo ai tuoi clienti, che probabilmente non sarebbero entusiasti di sapere che l'hanno preso da te.

Il modo più comune in cui questo malware arriva ai server è attraverso le vulnerabilità di Apache Struts o DotNetNuke, secondo la gente di Trend Micro's TrendLabs. Nel caso in cui questo suona familiare, è stata una vulnerabilità di Struts che ha portato alla violazione di Equifax. In sostanza, un hacker trova un sito Web senza patch e installa il malware, che lo trasferisce ai visitatori.

Proteggi i tuoi sistemi

Fortunatamente, ci sono cose che puoi fare. Il primo, e quello che sembra sfidare la correzione più ampiamente, è patchare i sistemi. Le vulnerabilità di Struts e DotNetNuke sono state entrambe patchate, ma ci sono molti sistemi senza patch.

Inoltre, dovrai confermare che i tuoi server e computer dell'ufficio sono stati patchati. Questo può essere più complesso del normale, con tutte le altre patch relative alle vulnerabilità di Intel che volano in giro. Ma nessuno sta sfruttando quei problemi di Intel, ma sta usando ogni exploit che trovano per fare soldi con il mining di criptovaluta.

Vale la pena notare che le vulnerabilità che vengono sfruttate per il mining di valuta influenzano sia i computer Linux che Windows, quindi dovrai patchare tutti i tuoi server indipendentemente dal sistema operativo (SO).

Dovrai anche assicurarti di avere la protezione degli endpoint installata su tutti gli endpoint connessi a Internet con anti-malware aggiornato in atto per tenere fuori i minatori di valute. Il modo in cui Trend Micro ha riscontrato l'infestazione di YouTube è stato attraverso un enorme picco nel bloccare l'attività su quel servizio e i successivi reclami. Trend Micro e altri servizi, come Malwarebytes, forniscono versioni aziendali del loro software per scopi come questo.

Allena il tuo staff

Successivamente, forma il tuo staff con due obiettivi in ​​mente. In primo luogo, devono sapere che se vengono bloccati da un sito Web dal pacchetto anti-malware, la soluzione non è quella di disattivare la protezione anti-malware e colpire comunque il sito. Invece è per dire al personale di sicurezza cosa hanno trovato.

Il secondo è prestare attenzione a comportamenti insoliti sui computer che usano, in particolare tutti i casi di improvvise cattive prestazioni. Il mining di criptovaluta carica davvero la CPU su un computer e un improvviso rallentamento potrebbe essere il primo segno.

Infine, è importante prestare attenzione al software di monitoraggio. In genere, uno dei parametri monitorati da questi pacchetti è il carico della CPU, quindi, se vedi il tuo improvvisamente spuntare senza un motivo specifico, forse il mining è il motivo. Dovresti anche prestare attenzione al tuo software di monitoraggio della rete perché quelle criptovalute devono essere caricate in qualche modo. E se i computer della tua rete stanno eseguendo il mining, allora sarà la tua rete a fornire.

Fortunatamente, i crypto jacker (come vengono chiamati) raramente consentono al loro software di fornire cose come il ransomware. Il motivo è che vogliono usare il computer il più a lungo possibile. Dopotutto, sei la loro vacca da mungere e vogliono far arrivare il latte.