غالباً ما يتم انتشار تحديثات مزيّفة لبرنامج أدوبي فلاش تقوم بتحميل برمجيات خبيثة على جهاز الضحية من السهل كشفُها وتجنُبها. لكن هذه في هذه الحملة الجديدة، قام قراصنةٌ باستغلال حيلٍ جديدة من أجل تنزيل برمجيات التّعدين غير المصرّح به للعملة الرقمية المشفّرة على جهاز الضحية العامل بنظام وندوز.
حيث أنه في هذا الهجوم، لا يشعر المستخدم بأي شئ مثير للريبة. فالبرمجية الخبيثة تستخدم نفس إشعارات التحديث المنبثقة من مثبت Adobe الرسمي pop-up notifications بل أيضاً تقوم بتحديث مشغل الفلاش الى أحدث إصدار!
بعد أن يشاهد الضحية أن تحديث مشغل الفلاش قد تم، ويقوم بمزاولة عمله المعتاد على حاسبه، يتم بهدوء تحميل برمجية التعدين الخبيثة للعملة الرقمية XMRig التي تعمل بالخلفية خلسةً من دون علم المستخدم.
و خلافاً لأغلبية البرمجيات الخبيثة التي تصيب الأجهزة، لا تضر برمجيات التعدين غير المصرّح به ببيانات الضحية ومعلوماته أو نظام تشغيله أو اتصاله بالإنترنت، بل تسرق قدرات المعالجة من وحدة المعالجة المركزية CPU أو من وحدة تسريع الروسمات GPU. هذا يؤدي إلى انخفاض أداء الجهاز ما قد إزعاجا بسيطا لمستخدمي الأجهزة المصابة، ومع الوقت ارتفاعا في فاتورة الكهرباء، الضروري لتغذية المعالج المنهمك في إجراء العمليات الحسابية الضرورية للتعدين. وفي حال أصيبت أجهزة شركة أو مؤسسة ما، فسؤدي ذلك إلى انخفاض أداء جميع الأجهزة المصابة وبالتالي انخفاض أداء الموظفين وارتفاع فاتورة الكهرباء على المؤسسة. وبسبب ارتفاع حرارة الأجهزة عند قيامها بإجراء العمليات الحسابية اللازمة للتعدين بشكل متواصل، فإن ذلك يزيد من إحتمال عطب وحدة المعالجة المركزية أو مراوح التبريد على المدى الطويل.
بشكلٍ عام، برمجيات التّعدين الخبيث إما أن تكون مشغّلةً على الجهاز نفسِه او على المتصفّح ويمكن تشخيص هاتين الحالتين والتعامل معهما كما يلي:
تشخيص التعدين الخبيث Cryptojacking Diagnosis
عند بطء أداء الجهاز أو عند ارتفاع درجة حرارته أو ازدياد معدل وفترة عمل المراوح يجب الخطوات التالية لتشخيصي ما إذا كان الجهاز ضحية للتعدين الخبيث:
- قوموا بفتح مدير المهام عن طريق ضغط كل من CTRLو SHIFT وESC بنفس الوقت. أو عن طريق الضغط بزر الفأرة الأيمن على شريط المهام ثم اختيار مدير المهام Task manager
- اذهبوا الى تبويبة الأداء لمراقبة الحمل الواقع على وحدة المعالجة المركزية. إن كان الحمل مرتفعا، حتى لو لم يكن هناك أي برنامج تعرفوه بقوم بعمل ذو حمل عال وبشكل مستمر فهذا يعني في الغالب أن الجهاز يقوم بالتعدين. فإن لم يكن السبب هو المتصفح، فهذا يعني أن البرنامج الخبيث موجود على جهازكم ويجب إزالته بمساعدة مختص أو مختصة بهذا المجال.
- حال كان بطء الجهاز متربطا مع عمل المتصفح فقد يعني ذلك أن التعدين يحصل عبر المتصفح إما عبر إضافة Add-on خبيثة أو عبر زيارة موقع مصاب يقوم بحقن أسطر برمجة التعدين ضمن متصفحكم. للتحقق من ذلك على متصفح كروم Chrome قوموا بفتح مدير المهام لمتصفح كروم بضغط كلاً من SHIFT وESC أو من قائمة الإعدادات، قوموا باختيار أدوات أخرى، ثم قوموا باختيار: مدير المهام
- ضمن مدير المهام الخاص بالمتصفح يمكنم الاطّلاع على العمليات التي تعمل ضمن المتصفح سواءَ كانت مرئية للمستخدم كتبويبة تصفح أو كانت غير مرئية أي تعمل في الخلفية Background ، وسواء كانت العمليات مرتبطة بإضافةً ما Add-on أو تبويبة Tab، ويمكن معاينة ما هي نسبة استغلال وحدة المعالجة المركزية من قبل كل مهمة. في حال وجود تبويبة أو إضافة تستغل المعالج بقدر غير اعتيادي، فإن هذا يدل على أن هناك عملية تعدين تجري ضمن المتصفح.
التعامل مع هجمات التعدين غير مصرّح به للعملات المشفرة
عند اكتشافكم أنكم ضحية هجوم التعدين الخبيث وفي حال كان الهجوم غير مترتبط بعمل المتصفح. يعني ذلك أن الجهاز مصاب ببرنامج تعدين خبيث، في هذه الحالة يجب اعلام القسم التقني في مؤسستكم أو الاتصال بمختصين لإزالة الإصابة والتأكد من عدم إصابة الجهاز بما هو أخطر والتأكد من عدم إصابة جهازكم في المستقبل.
أما في حال أشار التشخيص أن التعدين الخبيث مرتبط بالمتصفح اتبعوا الخطوات التالية لإزالة الإصابة:
- حددوا ضمن مدير المهام Task Manager الخاص بالمتصفح، الصفحة التي تستغل وحدة المعالجة المركزية CPU بشكل مريب.
- إن كانت تبويبة تصفحة Tab قوموا بإغلاق التبويبة، وتجنبوا زيارة الموقع المصاب في المستقبل
- أضيفوا عنوان التبويبة إلى قائمة المواقع المحظور زيارتها في المؤسسة إن أمكن ذلك.
- إن كانت العملية مرتبطة بإضافة ما Add-on على المتصفح. قوموا بإزالة الإضافة من المتصفح
اقرأ أيضاً: ما هو التعدين غير المصرح به للعملة الرقمية المشفرة؟ الهندسة الاجتماعية مضادات الفيروسات
