Tecnica di attacco

Attacchi di cryptomining

Gli autori degli attacchi di cryptomining sfruttano le infrastrutture aziendali per estrarre criptovalute. Essi prosciugano le risorse e aumentano i costi operativi, oltre a essere indice di pericolose falle nella sicurezza. Ecco cosa devono sapere i responsabili della sicurezza.

Definizione

Come funziona

Perché gli hacker lo utilizzano

Rilevamento

Domande frequenti

Definizione

Che cos'è un attacco di cryptomining?

Un attacco di cryptomining, spesso denominato cryptojacking, consiste nell'uso non autorizzato di risorse informatiche per estrarre criptovalute. A differenza dei tradizionali attacchi informatici, che mirano a rubare dati sensibili o a diffondere ransomware, l'obiettivo principale di un attacco di cryptomining è quello di generare profitti in criptovaluta per l'autore dell'attacco.

Come funziona

Come funzionano gli attacchi di cryptomining?

Un attacco di cryptomining si verifica quando un hacker installa malware noto anche come script di cryptojacking — sul computer della vittima, il quale sfrutta poi la CPU, la GPU o altre risorse di calcolo per minare criptovalute come Bitcoin, Monero o Ethereum. Ciò consente all'hacker di svolgere attività di cryptomining apparentemente legittime: le criptovalute si basano su database chiamati blockchain, costituiti da "blocchi" di transazioni recenti che vengono aggiornati frequentemente tramite un complesso processo matematico. La produzione di nuovi blocchi richiede potenza di calcolo, che i singoli "minatori" scambiano con piccole somme di denaro. Il cryptojacking consente agli hacker di farlo su larga scala.

A volte gli hacker utilizzano phishing o aggiornamenti software compromessi per installare malware di cryptomining malware laptop o persino dispositivi mobili — sebbene i telefoni abbiano una potenza di elaborazione inferiore, infettarne molti contemporaneamente rende l'operazione redditizia.

In molti casi, gli script di cryptojacking vengono diffusi tramite browser web o annunci pubblicitari online. Gli hacker ricorrono inoltre al cryptojacking basato su browser per inserire codice JavaScript dannoso nei siti web. Quando un utente visita un sito infetto, lo script avvia il mining di criptovalute utilizzando i dispositivi dei visitatori senza il loro consenso. Questo tipo di cryptojacking non richiede malware e cessa non appena l'utente abbandona il sito.

‍

Il processo di cryptomining / cryptojacking

Perché gli hacker lo utilizzano

Perché gli hacker ricorrono agli attacchi di cryptomining?

Gli hacker ricorrono al cryptomining — in particolare al cryptomining illegale o "cryptojacking" — per trarne un profitto economico sfruttando la potenza di calcolo dei sistemi compromessi senza il consenso dei proprietari. Infettando computer, server o persino dispositivi dell'Internet delle cose (IoT) con malware di cryptomining, gli hacker possono minare criptovalute come Bitcoin o Monero, traendo profitto dalle risorse delle vittime. Ecco i motivi principali per cui gli hacker ricorrono al cryptomining:

Guadagno economico

Guadagno diretto: il mining di criptovalute può essere redditizio, soprattutto quando gli hacker sfruttano numerosi dispositivi compromessi per minare in modo collettivo.
Riduzione dei costi: gli hacker aggirano i costi elevati legati all'acquisto di hardware per il mining e all'energia elettrica, massimizzando così i propri profitti.

Anonimato e facilità di monetizzazione

Difficile da rintracciare: le criptovalute offrono un certo grado di anonimato, rendendo difficile per le autorità risalire agli autori degli attacchi attraverso le transazioni.
Accessibilità globale: gli autori degli attacchi possono operare a livello internazionale senza ricorrere ai sistemi bancari tradizionali, riducendo così il rischio di essere individuati dalle autorità finanziarie.

Rischio contenuto rispetto ad altri reati informatici

Minore rilevabilità: malware dedicato al cryptomining malware opera in modo silenzioso in background, rendendo meno probabile che le vittime ne notino immediatamente le conseguenze rispetto al ransomware o al furto di dati.
Ambiguità giuridica: poiché il cryptomining non comporta sempre la distruzione o il furto di dati, talvolta riceve meno attenzione da parte delle forze dell'ordine.

Scalabilità

Ampia gamma di obiettivi: gli hacker possono infettare un numero enorme di dispositivi, tra cui computer personali, server aziendali e dispositivi IoT, aumentando così la produzione di criptovalute.
Cloud : la compromissione cloud consente agli hacker di disporre di notevoli risorse di calcolo, potenziando così le loro capacità di mining.

Sfruttamento delle risorse

Sfruttamento delle risorse inutilizzate: molti sistemi dispongono di potenza di elaborazione inutilizzata che gli hacker possono sfruttare senza compromettere in modo significativo le prestazioni, ritardando così il rilevamento.
Eludere i costi energetici: sono le vittime a sostenere l'aumento dei costi dell'elettricità, consentendo agli autori degli attacchi di trarne profitto senza sostenere spese generali.

Facilità di implementazione e automazione

Strumenti automatizzati: gli hacker utilizzano malware sofisticati malware botnet per distribuire in modo efficiente i cryptominer su numerosi sistemi.
Sfruttamento delle vulnerabilità: approfittano di software non aggiornati, configurazioni di sicurezza carenti e tecniche di ingegneria sociale per infettare i dispositivi.

In aggiunta ad altri attacchi

malware a doppio scopo: malware dedicato al cryptomining malware essere combinato con altre attività dannose, come il furto di dati o il ransomware, massimizzando così il ritorno sull'investimento dell'autore dell'attacco.
Presenza persistente: conquistare una posizione all'interno di un sistema consente agli hacker di svolgere attività dannose in modo continuativo, che vanno oltre il cryptomining.

Rilevamenti della piattaforma

Come individuare gli attacchi di cryptomining

Gli attacchi di cryptomining possono essere difficili da individuare, poiché sono progettati per rimanere nascosti. Esistono tuttavia alcuni modi per individuarli, come prestare attenzione ai rallentamenti dei dispositivi e all'aumento dell'utilizzo della CPU. Tuttavia, questo approccio basato sull'osservazione richiede che i dipendenti segnalino eventuali problemi di prestazioni — ammesso che se ne accorgano. Un metodo più affidabile consiste nell'utilizzare l'intelligenza artificiale e l'apprendimento automatico.

Vectra AI sviluppato sistemi di rilevamento basati sull'intelligenza artificiale progettati per individuare gli attacchi in base al loro comportamento. Tra questi figura un sistema di rilevamento del mining di criptovalute, volto a identificare l'uso non autorizzato delle risorse informatiche di un'organizzazione per il mining di criptovalute.

Rilevamento

Cryptomining su AWS