OSIC 02/2023

[TLP:CLEAR]

ㅤ

Abuso com mineração de criptoativos em infraestruturas - CRYPTOJACKING

Textos: João Alberto Muniz Gaspar
Produção: Secretaria de Segurança da Informação e Cibernética

A criptomoeda é um ativo financeiro digital que utiliza criptografia e tecnologia blockchain para garantir a realização de transações. A mineração de criptomoedas, ou criptomineração, é o processo utilizado para conquistar o ativo e tem como objetivo verificar e incluir as transações de criptoativos na blockchain , que é o banco de dados que registra as movimentações dos usuários. A popularidade e o aumento do uso de criptomoedas começou a chamar tanta atenção que desenvolveram uma nova forma de abuso chamada Cryptojacking .

O cryptojacking , ou malware de criptomineração, é um ataque que coopta os recursos de computação do alvo para minerar criptomoedas, como bitcoin e Ethereum . Esse malware usa a capacidade de processamento da Unidade Central de Processamento (CPU) do dispositivo, por vezes usa a Graphics Processing Unit (GPU), comum nas placas de vídeos utilizadas por gamers , para realizar cálculos matemáticos complexos que resultam em longas sequências alfanuméricas, intituladas de hashes .

Existem muitos métodos diferentes para instalar o Cryptojacking em um dispositivo, sendo os mais tradicionais:

• a ameaça abusa de sítio eletrônico, também em anúncios, com injeção de script . A infecção ocorre quando a vítima visita o site ou o clica no anúncio infectado, este ato executa o script automaticamente com o armazenamento do código malicioso no dispositivo do usuário; e
• engenharia social, em particular o phishing , onde o alvo é induzido a clicar em link que executa o código para implantar o script de criptomineração em seu dispositivo.

Recentemente, há relatos de outros métodos como:

• a exploração de vulnerabilidades, em que se destaca a biblioteca Log4J, que permitem a execução de código no equipamento vulnerável. Em diversos casos, a mesma vulnerabilidade permite ao atacante realizar movimentação lateral, tendo acesso a outros dispositivos da rede e os infectando com o cryptojacking ; e
• utilização de abusos na cadeia de suprimentos ( Suply Chain ) de software semeando repositórios de código-fonte aberto com pacotes e bibliotecas maliciosos que contêm scripts de cryptojacking incorporados em seus códigos.

Independentemente do mecanismo de entrega, a detecção do malware é difícil, pois o código do cryptojacking funciona em segundo plano e as vítimas inocentes continuam utilizando seus sistemas normalmente.

Os sinais geralmente relacionados com cryptojacking são:

• perda de desempenho do dispositivo;
• atrasos na execução de processos;
• aquecimento anormal da CPU ou da GPU, podendo ocorrer o superaquecimento similar a um overclock ;
• incremento no consumo de energia do dispositivo afetado; e
• aumento incomum do tráfego de rede.

Uma das maneiras de distinguir a criptomineração do processamento legítimo é monitorar a rede em busca de conexões externas desconhecidas e com longa duração. Além disso, bons pacotes antimalware usam algoritmos de machine learning para entender os comportamentos na rede, permitindo que ela reconheça os sinais de criptomineração, como quando uma conexão de saída é feita para enviar a moeda digital ao invasor ou quando protocolos de criptomineração são usados.

Como ações protetivas contra os ataques de criptomineração, o Departamento de Segurança da Informação (DSI) sugere:

• no caso de ataques executados em navegador, o processo de mineração é interrompido com o fechamento da guia do navegador;
• instalar antimalware com proteção de endpoint capaz de detectar criptomineradores;
• manter o filtro da web atualizado;
• gerenciar plugins e extensões do navegador para minimizar o risco de execução de scripts ; e
• aplicar patches e updates de segurança nos equipamentos.

Por fim, orienta-se executar uma configuração de ativos que favoreça a segurança, observando a proteção básica dos equipamentos, que inclui aplicação de patches , desativação de serviços não utilizados e limitação de rastros externos para minimizar o risco de ataques baseados em equipamentos de rede.

Recomenda-se, ainda, a leitura das orientações contidas no sítio eletrônico abaixo:

https://www.cisa.gov/tips/st18-002

[TLP:CLEAR]