Non era proprio il regalo di Natale che Jonny Platt si aspettava.
Lo scorso dicembre, il fondatore di SEO Scout, un’azienda britannica specializzata in software di analisi dei siti web, ha dichiarato di essere rimasto “sconvolto” nel vedere addebitati 45.000 dollari sull’estratto conto relativo ai servizi cloud di Amazon Web Services (AWS ), il cui costo mensile era solitamente di circa 300 dollari. A quanto pare, un “truffatore” è riuscito a violare l’account di cloud hosting della sua azienda utilizzando un metodo di hacking rudimentale per sottrarre potenza di elaborazione del server al solo scopo di generare criptovaluta, attraverso la cosiddetta “estrazione di monete”.
Il bottino dell’hacker? Si stima che sei Monero, una somma in criptovaluta che all’epoca valeva appena 1.100 dollari.
«Che spreco», ha scritto Platt in un post su Twitter . «La maggior parte delle [piccole e medie imprese] che abboccano all’esca verrebbe mandata in rovina da una fattura improvvisa di 45.000 dollari. Posso dirvi che fa davvero una paura da morire.”
Platt, che alla fine è riuscito a convincere AWS a cancellare l’addebito, fa parte di un numero in rapida crescita di imprenditori i cui sistemi sono stati compromessi per il mining di criptovalute. Infatti, Malwarebytes segnala
un aumento del 300% dei malware dedicati al cryptomining nel 2021. SonicWall ha rilevato
51 milioni di attacchi nel corso del primo semestre dell'anno. E secondo Google ,
, , il 86% dei 50 casi Google di violazioni dei servizi cloud è stato utilizzato per il mining di criptovalute.
Conosciuti anche come “cryptojacking”, gli attacchi informatici finalizzati al mining di criptovalute spesso sfuggono all’attenzione della maggior parte dei reparti di sicurezza informatica. Ciò è in parte dovuto al fatto che non presentano un potenziale catastrofico pari a quello di minacce più note, quali il ransomware , o gli attacchi distribuiti di tipo denial-of-service (DDoS). Ma ciò è dovuto anche al fatto che questi hacker cercano di introdursi nelle reti e di rimanervi il più a lungo possibile, senza destare sospetti.
Proprio come i ladri che escogitano modi per sottrarre frazioni di centesimi di cui le banche non si accorgono — rubando così milioni di dollari —, i cryptojacker riescono nel loro intento indirizzando decine di migliaia di server a compiere le loro attività illecite.
In che modo i miner di criptovalute traggono profitto dal cryptojacking
L'hacking su larga scala è l'unico modo in cui i criminali possono ricavare guadagni concreti dal mining di criptovalute.
Per gli imprenditori in buona fede, il mining di criptovalute è un processo meticoloso che impiega computer potenti per verificare o risolvere problemi matematici estremamente complessi, i cui risultati vengono registrati e tracciati su registri digitali, ovvero le blockchain. Ogni volta che un miner risolve
un problema, viene ricompensato con monete digitali. Gli imprenditori
che dispongono dell’attrezzatura adeguata e della necessaria pazienza possono guadagnarsi da vivere in modo modesto
dedicandosi a questa attività.
«[La maggior parte] di coloro che abboccano all’esca verrebbero travolti da una fattura improvvisa di 45.000 dollari. Posso dirvi che fa davvero una paura da morire.”Jonny Platt, fondatore di SEO Scout
Tuttavia, i criminali informatici preferiscono in genere guadagni più consistenti, dell’ordine di diversi milioni di dollari. Per loro, la strada verso il successo consiste nell’accumulare un’enorme quantità di potenza di calcolo e nel risolvere un numero immenso di problemi, in modo rapido e costante.
«Se dovete pagare di tasca vostra la bolletta dell’elettricità per il mining di criptovalute, non ne ricaverete grandi guadagni», afferma Duncan Miller, direttore della sicurezza “ endpoint ” presso la società di sicurezza informatica e gestione dei sistemi Tanium. «Ma se riuscite a far sì che sia qualcun altro a pagare il conto al posto vostro, allora la cosa diventa decisamente più allettante.»
I cryptojacker riescono in questa impresa utilizzando gli stessi exploit impiegati nelle forme più diffuse di malware. Gli attacchi di phishing, ad esempio, inducono gli utenti a cliccare su link che inseriscono script di mining di criptovalute nelle reti aziendali. Un altro approccio consiste nell'installare script sui siti web o sugli annunci digitali. Lo script viene eseguito senza installare nulla sul computer dell'utente. I server informatici entrano a far parte della rete di mining di criptovalute, eseguendo algoritmi in background. La maggior parte degli utenti non se ne accorge affatto.
I cryptojacker prendono di mira le schede grafiche più potenti
Alcuni criminali informatici prendono di mira anche le schede grafiche, comunemente utilizzate dai giocatori e dalla maggior parte degli utenti di computer portatili, ottenendo in tal modo potenza di elaborazione per il mining di criptovalute. Ma lo fanno in modi che un reparto IT potrebbe non aspettarsi dai propri dipendenti, che ora lavorano da remoto e, di tanto in tanto, si dedicano ai videogiochi.
Le GPU (unità di elaborazione grafica) di Nvidia, ad esempio, sono diventate una piattaforma molto diffusa tra i miner di criptovalute che intendono massimizzare la produzione di energia. Tuttavia, poiché non si trattava di un utilizzo previsto, il fornitore ha installato un software denominato Lite Hash Rate (LHR) per scoraggiare tale attività. Ciò ha scatenato una sorta di guerra con una banda di hacker molto attiva chiamata Lapsus$. A febbraio, secondo quanto riferito, il gruppo sudamericano “ ” avrebbe sottratto circa 1 terabyte di dati a Nvidia e avrebbe minacciato di renderli pubblici qualora Nvidia non avesse eliminato la propria tecnologia LHR.
È improbabile che un’organizzazione media subisca conseguenze dirette da tali attività, ma quelle che ne sono interessate si trovano in genere a dover affrontare numerosi potenziali problemi. Potrebbero, ad esempio, riscontrare problemi di prestazioni della rete. Oppure il surriscaldamento del sistema, che richiede quindi un maggiore raffreddamento. Di conseguenza, le loro bollette energetiche potrebbero registrare un’impennata. Anche i tempi e i costi dell’assistenza informatica potrebbero aumentare, esercitando una pressione ancora maggiore sui reparti IT, già a corto di personale e sovraccarichi di lavoro. E, naturalmente, potrebbero iniziare a ricevere fatture relative ai servizi cloud di importo notevolmente gonfiato, come è avvenuto nel caso di SEO Scout.
[Leggi anche: La crescente necessità di integrare l'IT e la sicurezza]
Sebbene l’impatto del cryptojacking sulle singole reti non sia sempre elevato, se qualcuno riesce a introdurre malware in una rete per estrarre criptovalute, ciò significa che un’azienda è vulnerabile ad altre forme di malware, secondo l’esperto di sicurezza informatica Travis Taylor, che conduce insieme ad Adam Levin il podcast “ : What the Hack”.
«Potrebbero decidere, a un certo punto, di passare al lancio di tipi di malware più pericolosi», ha dichiarato Taylor a Endpoint. “Oppure potrebbero
vendere il proprio accesso ad altri su nel dark web. In ogni caso,
, siete vulnerabili.”
Lotta al cryptojacking attraverso pratiche di cyberigiene
John Pescatore, direttore del settore “Tendenze emergenti in materia di sicurezza” presso il SANS Institute, afferma che, poiché gli attacchi informatici finalizzati al mining di criptovalute utilizzano in gran parte “tecniche di attacco standard con payload e obiettivi diversi”, le organizzazioni dovrebbero applicare misure di base di cyberigiene e controlli per minimizzare i rischi e ridurre i danni.
«È necessario adattarsi costantemente per tenere a bada gli hacker.»Travis Taylor, esperto di sicurezza informatica e podcaster
Per iniziare, Roland Diaz, direttore della gestione tecnica dei clienti presso Tanium, raccomanda di utilizzare uno strumento di gestione delle risorse basato su per ottenere una visione completa e aggiornata dell’inventario dell’azienda. L'idea è quella di sapere non solo quali computer, server o macchine virtuali (VM) accedono alla rete, ma anche quali applicazioni e processi sono in esecuzione su di essi. Proprio come un utente medio di computer potrebbe controllare le prestazioni del proprio sistema per capire
cosa sta rallentando il PC, è importante che le organizzazioni IT monitorino, identifichino e affrontino le attività insolite all’interno dell’azienda, afferma Diaz.
«Grazie alla gestione delle risorse, posso accedere al sistema, esaminare l’elenco delle risorse di cui dispongo e affermare: “Va bene, mi concentrerò su queste otto applicazioni perché so che contengono elementi dannosi”».
Miller, di Tanium , afferma che i team di sicurezza IT dovrebbero inoltre avvalersi di strumenti di rilevamento e risposta di tipo “ endpoint ” (EDR) per individuare attività note. Le organizzazioni dovrebbero cercare identificativi quali BTC e XMR, che si riferiscono rispettivamente a Bitcoin e Monero, inclusi i nomi dei file
e le righe di comando, afferma. Sebbene EDR non rappresenti una soluzione universale per ogni minaccia che colpisce una rete, in una situazione come questa può essere
sfruttata con efficacia.
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
La sicurezza informatica dovrebbe inoltre monitorare i dispositivi che sembrano utilizzare una potenza di elaborazione della CPU o della memoria superiore alla media, afferma. Proprio come gli agenti della DEA potrebbero monitorare consumi energetici anomali nelle abitazioni per individuare laboratori di droga illegali, i team IT possono analizzare attentamente i problemi di prestazioni dei computer per individuare attività di cryptojacking.
Miller afferma che le organizzazioni possono inoltre utilizzare gli EDR per individuare i cosiddetti “hash dannosi” noti, associati al cryptojacking. Tra questi figurano:
- c717c47941c150f867ce6a62ed0d2d35
- 0c0195c48b6b8582fa6f6373032118da
- 1f776e609dcf28e1170a3167c30b0c6b
«È possibile cercare questi hash noti come dannosi per individuare attività non autorizzate nel proprio ambiente», afferma. «Una volta fatto ciò», afferma, «nella maggior parte dei casi è piuttosto semplice rimuovere i programmi di mining di
».
Utilizzo del threat hunting per individuare casi di cryptojacking
Miller avverte che, una volta neutralizzata una potenziale minaccia legata al mining di criptovalute, è importante condurre un’indagine forense per appurare in che modo gli hacker abbiano compromesso il sistema. Sebbene il problema immediato sia stato risolto, la vulnerabilità persiste.
In alcuni casi, osserva, un attacco potrebbe non provenire dall’esterno. Potrebbe trattarsi di un insider che, con la tecnica del “, attingendo alle risorse aziendali”, ha cercato di guadagnare un po’ di soldi extra. Esperti come Taylor raccomandano di informare i dipendenti in merito ai rischi e alle minacce che incombono sui loro posti di lavoro qualora consentissero un utilizzo improprio delle risorse informatiche aziendali.
[Leggi anche: Perché i lavoratori violano le politiche di sicurezza informatica]
Miller consiglia agli investigatori forensi di operare come i “cacciatori di minacce”, tenendo conto di un’ampia gamma di fattori correlati, quali:
- ID. L'attacco informatico è stato causato dalla compromissione delle credenziali?
- Strategia. Gli hacker hanno ottenuto le credenziali tramite phishing, ingegneria sociale oppure a causa della negligenza o dell’ostilità di un dipendente?
- Tempistica. Quando ha avuto inizio l'evento?
- Frequenza. Si è trattato di un caso isolato o si sono verificati attacchi informatici ripetuti?
- Rischio futuro. L’evento ha forse aperto la strada ad altre minacce che potrebbero rivelarsi più dannose dal punto di vista finanziario e operativo?
Secondo gli esperti, il cryptojacking non è destinato a scomparire nel breve periodo. Infatti, si prevedono un aumento della frequenza e della gravità.
«Indipendentemente dalle misure di difesa che si adottino per contrastare gli attacchi, i cryptojacker sembrano riuscire, alla fine, a aggirarle», afferma Taylor. «Ci sarà sempre qualche modo nuovo e creativo per aggirare i protocolli di sicurezza.» «È necessario adattarsi costantemente per tenere a bada gli hacker.»
