Kripto hırsızlığı, bir sistemin işlem gücünün sahibinin izni olmadan kripto para üretiminde kullanılmasıdır. Saldırgan veri çalmaz ya da sistemi bozmaz; yalnızca kaynakları tüketir. Bu nedenle uzun süre fark edilmeden devam edebilir. Zarar, elektrik tüketimi, donanım yıpranması ve performans kaybı olarak ortaya çıkar. Bulut ortamlarında ise doğrudan faturaya yansır.

Saldırının cazibesi, düşük riskli ve doğrudan gelir üreten bir yöntem olmasıdır. Fidye talebi gibi pazarlık gerektirmez ve kurbanla iletişim kurulmasına ihtiyaç duymaz. Bu nedenle özellikle geniş çaplı ve fırsatçı kampanyalarda tercih edilir. Hedef seçiciliği düşüktür; erişilebilen her sistem kullanılabilir. Bu durum, her ölçekten kurumu hedef hâline getirir.

Kripto Hırsızlığı Nedir?

Kripto hırsızlığı, ele geçirilen sistemlerin işlem gücünün sahibinin bilgisi dışında kripto para madenciliğinde kullanılmasıdır.

Saldırı iki temel biçimde görülür. Birincisi, sisteme yerleştirilen bir madencilik yazılımının arka planda çalışmasıdır. İkincisi, bir web sayfasına eklenen betiğin ziyaretçilerin tarayıcısında çalışmasıdır. İkinci biçimde kalıcılık yoktur; sayfa kapatıldığında işlem durur. Buna karşılık çok sayıda ziyaretçiye ulaşabilir.

Her iki biçimde de amaç aynıdır: başkasının kaynağını kullanarak gelir üretmek. Kullanılan hesaplama gücü tek bir sistemde küçük olsa da, binlerce sistemde toplandığında anlamlı bir gelir oluşur. Bu ölçek etkisi, saldırının ekonomisini belirler. Bu nedenle geniş çaplı kampanyalar tercih edilir.

Nasıl Bulaşır?

En yaygın bulaşma yolu, internete açık ve yamalanmamış hizmetlerdir. Özellikle sunucu tarafındaki uygulama zafiyetleri, otomatik taramalarla bulunur ve sömürülür. Sunucular yüksek işlem gücüne sahip olduğu için tercih edilen hedeflerdir. Bu nedenle sunucu yama yönetimi doğrudan bu riski azaltır. Envanter eksikliği en yaygın nedendir.

İkinci yol, ele geçirilmiş bulut kimlik bilgileridir. Sızmış bir erişim anahtarıyla açılan sanal makineler, doğrudan madencilik için kullanılır. Bu senaryoda maliyet tamamen kurumun üzerinde kalır. Bulut kimlik bilgisi sızıntısı bu nedenle hızlı tespit edilmelidir. Kod depolarına gömülen anahtarlar en sık kaynaktır.

Üçüncü yol, konteyner ve orkestrasyon platformlarının korumasız yönetim arayüzleridir. Kimlik doğrulaması olmadan erişilebilen bir yönetim arayüzü, saldırganın istediği kadar iş yükü başlatmasını sağlar. Bu arayüzlerin internete açık bırakılması yaygın bir hatadır. Erişimin kısıtlanması temel bir gerekliliktir. Varsayılan yapılandırmalar bu konuda gevşektir.

• Yamalanmamış internete açık uygulama zafiyetleri
• Sızmış bulut erişim anahtarlarıyla kaynak oluşturma
• Korumasız konteyner yönetim arayüzleri
• Zararlı tarayıcı eklentileri ve web betikleri
• Ele geçirilmiş web sitelerine eklenen madencilik betikleri
• Yazılım tedarik zinciri üzerinden dağıtılan paketler

Bulut Ortamlarındaki Etki

Bulut ortamlarında etki çok daha hızlı ve ölçülebilir biçimde ortaya çıkar. Saldırgan yüksek işlem gücüne sahip örnekler başlatır ve fatura kısa sürede büyür. Bazı olaylarda günler içinde ciddi tutarlara ulaşılabilmektedir. Bu nedenle bulut maliyet uyarıları bir güvenlik kontrolü olarak da değerlendirilmelidir. Beklenmedik maliyet artışı, olay göstergesi olabilir.

Kaynak oluşturma kotalarının tanımlanması da koruma sağlar. Bir hesabın açabileceği örnek sayısının ve türünün sınırlanması, saldırının ölçeğini kısıtlar. Ayrıca kullanılmayan bölgelerin tamamen kapatılması önerilir. Saldırganlar genellikle az izlenen bölgeleri tercih eder. Bu kontrol basit ama etkilidir.

Kimlik ve yetki yönetimi ise asıl savunmadır. Otomasyon kimliklerinin kaynak oluşturma yetkisinin sınırlanması, ele geçirme durumunda etkiyi azaltır. Bulut yetki yönetimi araçları aşırı yetkileri görünür kılar. Yetki daraltma öncelikli adımdır. Uygulama kademeli yapılır.

Nasıl Tespit Edilir?

En belirgin gösterge, sürekli yüksek işlemci kullanımıdır. Normalde düşük yük altındaki bir sunucunun uzun süre yüksek kullanımda kalması dikkat çekicidir. Bu gösterge, performans izleme araçlarıyla kolayca yakalanabilir. Güvenlik ekibinin performans metriklerine erişimi olmalıdır. İki alanın kesişimi bu tespiti sağlar.

İkinci gösterge, madencilik havuzlarına yapılan ağ bağlantılarıdır. Bu havuzların adresleri bilinir ve engelleme listelerine eklenebilir. Ancak saldırganlar kendi aracı sunucularını kullanarak bu kontrolü atlayabilir. Bu durumda bağlantı örüntüsü analiz edilir. Düzenli aralıklarla yapılan küçük istekler karakteristiktir.

Üçüncü gösterge, beklenmedik süreçler ve zamanlanmış görevlerdir. Temel çizgi karşılaştırması bu değişiklikleri ortaya çıkarır. Ayrıca bulut ortamlarında beklenmedik kaynak oluşturma olayları izlenir. Bulut denetim günlükleri bu tespiti sağlar. Uyarı kuralları önceden tanımlanmalıdır.

Neden Ciddiye Alınmalı?

Kripto hırsızlığı çoğu zaman düşük öncelikli bir olay olarak görülür çünkü veri kaybı yoktur. Ancak varlığı, sistemin ele geçirilmiş olduğunu gösterir. Aynı erişim, başka amaçlarla da kullanılabilir. Bu nedenle olay, bir giriş noktasının kanıtı olarak ele alınmalıdır. Yalnızca madencilik yazılımının kaldırılması yeterli değildir.

İnceleme, saldırganın nasıl girdiğini ve başka ne yaptığını kapsamalıdır. Aynı zafiyet başka aktörler tarafından da kullanılmış olabilir. Ayrıca kalıcılık mekanizmalarının tamamının temizlendiğinden emin olunmalıdır. Kalıcılık mekanizmaları eksik temizlendiğinde olay tekrar eder. Kapsam belirleme bu nedenle önemlidir.

Performans kaybının iş etkisi de değerlendirilmelidir. Üretim sistemlerinde yaşanan yavaşlama, müşteri deneyimini ve iş süreçlerini etkiler. Bu etki, olayın önceliklendirilmesinde dikkate alınmalıdır. Ayrıca donanım ömrü üzerindeki etki de maliyet olarak hesaplanır. Toplam maliyet çoğu zaman tahmin edilenden yüksektir.

Tarayıcı Tabanlı Madencilik

Tarayıcı tabanlı madencilikte, bir web sayfasına eklenen betik ziyaretçilerin işlem gücünü kullanır. Kullanıcı sayfada kaldığı sürece madencilik devam eder ve sayfa kapatıldığında durur. Kalıcı bir bulaşma olmadığı için tespit ve temizlik kolaydır. Buna karşılık çok sayıda ziyaretçiye aynı anda ulaşabilir. Yüksek trafikli siteler bu nedenle hedef alınır.

Betik, sitenin ele geçirilmesiyle ya da üçüncü taraf bir bileşen üzerinden eklenebilir. Reklam ağları ve dış kütüphaneler bu yolun kaynağıdır. Site sahibinin haberi olmadan gerçekleşebilir. Bu nedenle sayfada yüklenen dış kaynakların denetlenmesi gerekir. İçerik güvenlik politikası bu denetimi sağlar.

Kullanıcı tarafında ise içerik engelleme eklentileri koruma sunar. Bilinen madencilik betikleri engelleme listelerinde yer alır. Kurumsal ortamda bu engelleme merkezî tarayıcı politikalarıyla uygulanabilir. Ayrıca aşırı işlemci kullanımına neden olan sekmeler tespit edilebilir. Modern tarayıcılar bu bilgiyi sunar.

Maliyet ve Kapasite Etkisi

Şirket içi sistemlerde etki, performans kaybı ve elektrik tüketimi olarak ortaya çıkar. Sürekli yüksek yükte çalışan donanımın ömrü kısalır ve soğutma maliyeti artar. Bu maliyetler doğrudan görünmediği için genellikle hesaba katılmaz. Oysa uzun süreli bir bulaşmada tutar anlamlı hâle gelir. Olay değerlendirmesinde bu kalemler de yer almalıdır.

Bulut ortamlarında ise etki doğrudan faturada görünür. Bu görünürlük, tespiti kolaylaştıran bir avantajdır. Maliyet uyarılarının güvenlik ekibine de iletilmesi önerilir. Beklenmedik artışlar, teknik incelemeyi tetiklemelidir. İki ekip arasındaki bu bağ çoğu kurumda kurulmamıştır.

Kapasite planlaması da etkilenir. Madencilik nedeniyle tükenen kaynaklar, meşru iş yükleri için yetersiz kalabilir. Bu durum, hizmet kalitesini düşürür ve gereksiz kapasite yatırımına yol açar. Kök neden bulunmadan yapılan kapasite artırımı, sorunu çözmez. İnceleme bu nedenle önceliklidir.

Privia Security olarak internete açık sistemlerdeki zafiyetleri ve bulut yapılandırma risklerinidüzenli zafiyet tarama hizmeti kapsamında izliyor, sömürülebilir giriş noktalarını raporluyoruz.