Mac-тегі крипто майнерді қалай табу және жою керек

Нидерландының ұлттық киберагенттігі macOS экранды бөлісу функциясы арқылы жасалған шабуылдар туралы ескертті. Басып кіргендер машиналарды қашықтан басқаруға қол жеткізіп, Monero майнинг жасайтын бағдарлама орнатты — яғни электр қуатының шоты мен желдеткіш шуы жәбірленушінікі, ал табыс басқа біреудікі.

Бұл нұсқаулықта: не болғаны, Mac-тегі крипто майнердің қалай әрекет ететіні, қандай белгілерге сенуге болатыны және қайта қосудан кейін де жойылып қалатын жою реттілігі. Шамамен он бес минут жоспарлаңыз. Бір қосымша қадамнан басқа ештеңе командалық жолды қажет етпейді.

Экранды бөлісуде не дұрыс болмады

Бұл функция басқа машинадан жұмыс үстеліне қосылуға мүмкіндік береді. Ол әдепкіде өшірулі, бірақ жиі қосылады — қашықтағы серверлерде, біреу үйден қосылуы керек кеңсе машиналарында, құрастыру машинасы ретінде жұмыс істейтін Mac mini-де.

Ақау салдарынан жүйе кейбір жағдайларда рұқсатсыз қосылымды жарамды пароль болмаса да заңды деп қабылдай алатын. Экранды бөлісу парольдерін ауыстыру немесе жою мұны түзетпеді: жаңартылмаған машина бәрібір ашық күйінде қалды.

Apple түзетуді 6 тамызда шығарды — macOS Tahoe 26.6.1, Sequoia 15.7.9 және Sonoma 14.8.9 нұсқалары үшін. Huntress зерттеушісі Райан Дауд Censys платформасы арқылы интернетті сканерлеп, осы шабуылға потенциалды қолжетімді ондаған мың машинаны тапты: оларда экранды бөлісу қолданатын 5900 порты ашық интернетке шығып тұрған.

Бағдарлама қалай әрекет етеді

Біреудің жабдығымен майнинг жасау cryptojacking деп аталады және бұл шифрлаушы-вымогательден тынышырақ бизнес: құлыпталған экран жоқ, хат жоқ, мерзім жоқ. Mac-тегі крипто майнер жай ғана процессор мен графикалық процессорды иеленеді және табысты сіз ешқашан көрмеген әмиянға жібереді.

Экономика шыдамдылықты марапаттайды, сондықтан бағдарлама жасырынады. Әдеттегі айлаларға мыналар жатады: процеске жүйелік қызметтің атын беру, сіз белсенді теріп отырғанда жылдамдықты төмендету және түнде толық қуатқа қайту. Кейбір үлгілер Activity Monitor іске қосылғанын бақылап, ол ашық тұрғанда ұйқыға кетеді.

Monero әдепкі таңдау болғанының себебі бар. Бұл — құпиялылық монетасы, сондықтан төлемдер ашық эксплорерде оңай қадағаланбайды, әрі ол арнайы жабдықсыз, кәдімгі процессорларда пайдамен майнинг жасауға арналған. Осы үйлесім кез келген ноутбукты жұмыс істейтін табыс көзіне айналдырады.

Екі сценарийді бөлек ұстау керек. Браузерлік майнинг зақымдалған беті бар қойынды ашық тұрғанда жұмыс істейді және оны жапқанда жоғалады. Толық орнату өзін жүйеге жазады, автобастауға тіркеледі және қайта қосуларда аман қалады. Екінші жағдай нашарлау, ал себебі майнингке қатысы жоқ: оны сонда қойған адамның басқа нәрсе қалдыруға да рұқсаты жеткен.

Сенуге тұратын белгілер

Біріншісі — шу. Машина бос тұрғанда желдеткіштер айнала бастайды, корпус қызады, ал ноутбукте батарея уақыты байқарлықтай азаяды.

Екіншісі — жауап беру жылдамдығы. Интерфейс кідіреді, қосымшалар ұзақ іске қосылады, видео кадр жоғалтады.

Үшіншісі — желілік трафик. Майнер майнинг-пулмен тұрақты байланыс ұстайды, сондықтан ештеңе ашық болмаса да шығыс трафик жалғаса береді.

Төртіншісі — терезенің болмауы. Фондық процесс интерфейс көрсетпейді, сондықтан ол Dock-та да, қосымшалар тізімінде де жоқ.

Бесіншісі — қайта қосудан кейінгі мінез. Егер жүктеме кіргеннен кейін бір минут ішінде өздігінен қайтып келсе, бірдеңе автобастауға тіркелген. Жеке-дара бірде-бір белгі Mac-те крипто майнер бар екенін дәлелдемейді, бірақ жиынтығы он бес минут тексеруді ақтайды.

1-қадам. Activity Monitor-да жүктемені оқыңыз

Activity Monitor-ды Spotlight арқылы ашып, CPU қойындысына өтіңіз. % CPU бағаны бойынша сұрыптаңыз.

Машина бос тұрғанда тұрақты 70-тен 100 пайызға дейін ұстап тұрған процесс — басты күдікті. Оның атауы мен жолын белгілеп алыңыз: қос шерту мәліметтер картасын ашады, онда аталық процесс пен ол қай пайдаланушының атынан жұмыс істейтіні көрінеді.

Оны әзірше жаппаңыз. Файлды таппай тұрып процесті өлтірсеңіз, іске қосу агенті оны жай ғана қайта бастайды. Осында тұрғанда Energy қойындысын да қараңыз: соңғы бірнеше сағаттағы орташа энергия әсері сіздің назарыңызды күтіп тынышталған Mac-тегі крипто майнерді де әшкерелейді.

2-қадам. Автобастауды тексеріңіз

Тұрақтылық үш каталогта тұрады. Finder-ді ашып, Shift-Command-G басып, әрқайсысына кезекпен кіріңіз.

~/Library/LaunchAgents қалтасы ағымдағы пайдаланушының тапсырмаларын, /Library/LaunchAgents барлық пайдаланушылардың тапсырмаларын, ал /Library/LaunchDaemons кірер алдында жұмыс істейтін жүйелік қызметтерді сақтайды. Ішінде .plist кеңейтімді файлдар бар.

Жазбаны күдікті ететін екі нәрсе: жүйелік құрамдасқа кішкене жазылу айырмашылығымен еліктейтін атау және машинаңыз оғаш жүре бастаған күнмен сәйкес келетін жасалу күні. Файлды мәтіндік редакторда ашып, орындалатын файлдың жолын қамтитын ProgramArguments кілтін оқыңыз. Жиі кездесетін жасырын орындар: /tmp, үй қалтаңыздағы нүктеден басталатын қалта және /Users/Shared.

Содан кейін System Settings, General, Login Items тексеріп, өзіңіз әдейі қоспаған бәрін алып тастаңыз. Терминалда launchctl list толық көріністі көргіңіз келсе, барлық жүктелген тапсырманы басып шығарады.

3-қадам. Профильдерді, кеңейтімдерді және тіркелгілерді тексеріңіз

Конфигурация профильдері — басқару деңгейіндегі тірек. System Settings, Privacy and Security, содан кейін Profiles ашыңыз. Егер корпоративтік басқару жүйесіне ешқашан тіркелмеген болсаңыз, ал профиль тұрса, оны алып тастаңыз.

Браузерде әдейі орнатпаған барлық кеңейтімді өшіріңіз. Браузерлік майнинг дәл сонда тұрады, ал кеңейтімдер бет мазмұнын жиі оқиды, оның ішінде биржа интерфейстерін.

Соңында пайдаланушы тіркелгілерінің тізіміне қараңыз. Өзіңіз жасамаған жаңа әкімші тіркелгісі рұқсаттың ішінара емес, толық болғанын білдіреді, ал жауап тазалаудан толық бұзылуды өңдеуге ауысады.

4-қадам. Дұрыс ретпен жойыңыз

Реттілік маңызды. Алдымен автобастау тапсырмасын жүктеуден шығарыңыз, екіншіден plist-ті жойыңыз, үшіншіден екілік файлды жойыңыз, тек содан кейін ғана процесті жабыңыз. Кері ретпен істесеңіз, қызмет сіздің көз алдыңызда файлды қайта іске қосады.

Тапсырманы launchctl unload командасымен plist файлының жолын көрсетіп жүктеуден шығарыңыз. plist-ті жойыңыз. Ол сілтеген екілік файлды жойыңыз, содан кейін Себетті босатыңыз.

Activity Monitor-ға оралып, процесс әлі тірі болса, оны жабыңыз. Қайта қосып, жүктемені тағы қараңыз. Егер ол қайтып келсе, екінші көшірме бар және іздеу екінші қадамнан қайталанады.

Айқаспалы тексеру үшін сканер жүргізіңіз — Malwarebytes for Mac-те тегін сұраныс бойынша режим бар. Кірістірілген XProtect те белгілі үлгілерді қамтиды, бірақ оның қолтаңбалары Apple кестесімен жаңарады, лезде емес, сондықтан екінші пікірдің құны бар.

Егер файл күдікті көрінсе, бірақ сенімді болмасаңыз, жоймай, атын өзгертіп қайта қосыңыз. Аты өзгертілген файлды қалпына келтіру түкке тұрмайды; шын қолданатын қосымшаның жойылған құрамдасын қалпына келтіру олай емес.

5-қадам. Есікті жабыңыз

Жүйелік жаңартуларды орнатыңыз: System Settings, General, Software Update. Науқан сүйенген экранды бөлісу ақауын дәл осы құрастырмалар жабады.

Қажет емес қашықтағы қызметтерді өшіріңіз: System Settings, General, Sharing, содан кейін Screen Sharing және Remote Management ауыстырғыштары. Егер машина жария мекенжайда тұрса, 5900 порты ешқашан интернетке қарамауы керек — оны роутерде немесе брандмауэрде бөгеңіз.

Network бөлімінде брандмауэрді қосыңыз. Әкімші паролін ауыстырыңыз және тіркелгі парольсіз автоматты кірмейтініне көз жеткізіңіз.

Егер сол машинада әмиян болса

Логика аяусыз: Mac-те крипто майнер орнатуға рұқсаты жеткен адамның ақпарат ұрлаушы орнатуға да рұқсаты жеткен. Кілттерді бұзылған деп санаңыз.

Қаражатты басқа, таза екені белгілі құрылғыда жасалған жаңа мекенжайға көшіріңіз. Ескі сид-фразаны сол машинада ешқашан енгізбеңіз — бұл оны екінші рет беру.

Қолданыстағы токен рұқсаттарын кері қайтарыңыз, биржа парольдерін таза құрылғыдан ауыстырыңыз және белсенді сеанстарды тоқтатыңыз. Браузер cookie-лері пароль ауысқаннан кейін де тірі қалады, сондықтан тек парольді жаңарту ұрланған сеансты тірі қалдырады.

Таза күйде қалу

Жаңартуларды шыққаннан кейін бір апта ішінде орнатыңыз. Зақымданулардың көбі жәбірленуші соққы алмай тұрып әлдеқашан жабылған осалдықтар арқылы жүреді.

Тексерілмеген көздерден орнатқыштарды іске қоспаңыз; ақылы бағдарламалардың пираттық құрастырмалары Mac-ке крипто майнер жететін ең жиі жол болып қала береді.

Айына бір рет Activity Monitor-ды ерекше себепсіз ашып, машина бос тұрғанда не жұмыс істеп тұрғанына қараңыз. Өз қалыпты көрінісіңізді білу — қалыптан тыс көріністі байқаудың ең арзан тәсілі.

Жиі қойылатын сұрақтар

Майнер Apple Silicon-да жұмыс істей ала ма? Иә. Архитектура әлдеқашан іске қосылған кодтан ешқандай қорғаныс бермейді, ал ARM тиімділігі бұл машиналарды тартымды нысанаға айналдырады. Мінез бірдей: ядролар бос емес, корпус ыстық.

Mac-тегі крипто майнер жабдыққа қауіпті ме? Ол тікелей ештеңені жоймайды, бірақ үздіксіз толық жүктеме ұзақ уақыт жоғары температураны, желдеткіштің тозуын және батареяның жылдам деградациясын білдіреді. Ноутбукте әсері бірнеше ай ішінде көрінеді.

Бұл вирус па? Қатаң айтқанда жоқ: вирус өзін көбейтеді, ал бұл пайдаланылған қызмет немесе орнатқыш арқылы келеді. Практикалық айырмашылық шағын, әрі антивирус қозғалтқыштары оны бәрібір зиянды деп белгілейді.

macOS-ты қайта орнату жеткілікті ме? Таза орнату дерлік бәрін жояды, бірақ деректерді таңдап қалпына келтіріңіз: plist файлдары бар сақтық көшірме мәселені сол күйінде қайтарады. Ол сондай-ақ жоғарыдағы әмиян туралы кеңесті өзгертпейді.

Майнерді жүйелік процестен қалай ажыратамын? Жол мен қолтаңба бойынша. Жүйелік құрамдастар /System пен /usr/libexec ішінде тұрады, Apple қолтаңбасымен қол қойылған және кеше жасалмаған. Зиянды екілік файлдар әдетте уақытша каталогтардан іске қосылады және жарамды қолтаңбасы болмайды.

Процесс жабылудан бас тартса ше? Қауіпсіз режимде жүктеліңіз — ол үшінші тарап автобастау тапсырмаларын жүктемейді, файл қарсылықсыз жойылады. Apple Silicon-да қосу кезінде қуат түймесін, Intel-де Shift-ті басып тұрыңыз.