Kripto Madenci Virüsü: Belirtiler ve Temizlik

Kripto madenci virüsü, bilgisayarının ya da telefonunun işlemcisini senin haberin olmadan kripto para üretmek için kullanan zararlıdır. En sık belirtiler boştayken bile yüksek işlemci kullanımı, durmayan fan, ısınma ve hızlı biten pildir. Bu rehberde belirtileri nasıl doğrulayacağını, tarayıcı kaynaklı madenciliği, temizlik adımlarını ve tekrar bulaşmayı nasıl önleyeceğini bulacaksın.

Kripto madenci virüsü nedir, nasıl çalışır?

Kripto para madenciliği, hesaplama gücü harcayarak ödül kazanma işidir. Meşru madenci kendi donanımını ve elektriğini kullanır. Zararlı madenci ise senin donanımını kullanır, kazancı saldırganın cüzdanına gider. Bu saldırıya cryptojacking denir.

MITRE ATT&CK bu davranışı "Resource Hijacking" (T1496) tekniği altında, işlem gücünün ele geçirilmesini de T1496.001 alt tekniği olarak izler. ATT&CK'e göre amaç çoğunlukla kripto para işlemlerini doğrulayıp sanal para kazanmaktır. Kayıtlı örneklerde Monero ve açık kaynak madenci yazılımı XMRig sık geçer. Bazı madenciler aynı makinedeki rakip zararlıların süreçlerini bulup kapatır.

Sonuç senin için üç şeydir: yavaşlayan bir cihaz, artan elektrik tüketimi ve sürekli yüksek sıcaklıkta çalışan donanım.

Madenci genellikle şu yollardan gelir:

• Korsan yazılım: Crack ve keygen paketleri sık kullanılan bir taşıyıcıdır. Riskin nasıl işlediğini crack program zararlı mı yazısında anlattık.
• Sahte uygulama ve güncellemeler: Resmî olmayan sitelerden indirilen "güncelleme" ya da "hızlandırıcı" programlar.
• Zararlı ekler: E-postayla gelen belge ya da arşiv dosyaları.
• Ele geçirilmiş siteler ve eklentiler: Tarayıcıda çalışan madenci betikleri.

Sunucular, bulut hesapları ve konteynerler de hedeftir. ATT&CK bu sistemlerin bol kaynakları nedeniyle tercih edildiğini not eder.

Hangi belirtiler madenci virüsünü gösterir?

Tek bir belirti kanıt değildir. Birkaçını birlikte görüyorsan kontrol et. Aşağıdaki tablo her belirtinin başka olası nedenini de gösterir:

Bazı zararlılar sistem süreçlerinin adını taklit eder. Adı tanıdık gelse bile dosyanın nerede durduğuna bak.

Bilgisayarda madenci nasıl bulunur?

Windows: Ctrl+Shift+Esc ile Görev Yöneticisi'ni aç. İşlemler listesini CPU sütununa göre sırala. GPU sütunu da ekran kartını kullanan programları gösterir. Şüpheli satıra sağ tıklayıp dosya konumunu aç. Kullanıcı klasöründeki AppData ya da Temp altında çalışan, imzasız bir program dikkat ister. Ardından başlangıç uygulamalarını ve Görev Zamanlayıcı'daki görevleri kontrol et. Daha derin bir inceleme için Sysinternals ile şüpheli süreç avı yazısındaki Process Explorer ve Autoruns adımlarını izle.

macOS: Etkinlik Monitörü'nü aç ve CPU sekmesinde yüzdeye göre sırala. Tanımadığın bir süreci not et, adını ve dosya yolunu araştır.

Linux: Yükü yapan süreci şu komutla gör:

ps aux --sort=-%cpu | head -n 5

Sonra kalıcılık izlerine bak: crontab -l ile zamanlanmış görevleri, systemctl list-units --type=service ile servisleri incele. Bir sunucuda yüzde 98 işlemci yükü yapan madenciyi bulup çevrelediğin bir senaryo saha görevlerinde var.

Şüpheli sürecin madenci olduğunu nasıl doğrularsın?

Yüksek işlemci kullanan her program zararlı değildir. Video kodlayan bir uygulama ya da derleme yapan bir geliştirme aracı da işlemciyi doldurur. Madenciyi ayırt eden birkaç işaret var:

• Komut satırı: Görev Yöneticisi'nin Ayrıntılar görünümüne Komut satırı sütununu ekle ya da Linux'ta ps -o args -p <PID> komutuyla süreci başlatan satırı oku. stratum+tcp:// ya da stratum+ssl:// ile başlayan bir adres, madencinin bağlandığı havuzu gösterir. XMRig gibi madencilerin kullandığı adres biçimi budur.
• Uzun cüzdan adresi: Komut satırında ya da yanındaki yapılandırma dosyasında rastgele görünen çok uzun bir dizi genellikle kazancın gideceği cüzdandır.
• Dışarı giden bağlantı: Süreç sürekli aynı uzak adrese ve alışılmadık bir porta bağlı kalıyorsa not al.
• İmza ve konum: Program imzasızsa ve kullanıcı klasöründen çalışıyorsa şüphen güçlenir.

Bu bilgileri kaydet. Temizlikten sonra aynı süreç geri gelirse neye bakacağını bilirsin.

Tarayıcı madenciliği nasıl anlaşılır?

Tarayıcı madenciliği, bir web sayfasındaki betiğin sen sayfadayken işlemcini kullanmasıdır. Bu yöntem 2017'de açılan Coinhive adlı hizmetle yaygınlaştı. Coinhive, site sahiplerine reklam yerine ziyaretçinin işlemcisiyle Monero kazandırmayı vaat ediyordu. Saldırganlar ise betiği ele geçirdikleri sitelere gizlice yerleştirdi. Hizmet Mart 2019'da kapandı. Benzer betikler ele geçirilmiş sitelerde ya da zararlı eklentilerde yine karşına çıkabilir.

Kontrol yolu basittir:

1. Chrome ya da Edge'de Windows'ta Shift+Esc ile tarayıcının görev yöneticisini aç. Firefox'ta adres çubuğuna about:processes yaz.
2. İşlemci kullanımına göre sırala.
3. Yükü bir sekme yapıyorsa o sayfayı kapat ve bir daha açma.
4. Sekmeler kapalıyken yük sürüyorsa eklentilere bak. Kurmadığın ya da kullanmadığın her eklentiyi kaldır.
5. Tarayıcıyı güncelle.

Eklentiler sayfa içeriğini okuyabilir ve değiştirebilir. Az eklenti, hem madenciliğe hem veri hırsızlığına karşı en ucuz önlemdir.

Madenci virüsü nasıl temizlenir?

1. Yük yapan sürecin adını ve dosya yolunu not et.
2. Güncel bir güvenlik yazılımıyla tam tarama yap. Windows'ta Microsoft Defender'ın çevrimdışı taraması, sistem açıkken gizlenen zararlıları yakalamaya yardımcı olur.
3. Başlangıç kayıtlarını, zamanlanmış görevleri ve tarayıcı eklentilerini temizle. Madenci kendini bu yollarla yeniden başlatır.
4. İşletim sistemini ve programları güncelle.
5. Önemli hesaplarının parolalarını temiz bir cihazdan değiştir. Madenciyi getiren kurulum başka bir zararlı da bırakmış olabilir.
6. Yük birkaç gün içinde geri geliyorsa belgelerini yedekle ve işletim sistemini sıfırdan kur. Yedekten program geri yükleme.

Ücretsiz koruma araçlarının sınırlarını ücretsiz antivirüs yeterli mi yazısında okuyabilirsin.

Telefonda madenci belirtileri nelerdir?

Telefonda fan yoktur. Bu yüzden ısınma, hızlı biten pil ve kasma öne çıkar. Ayarlardaki pil kullanımı ekranında, kullanmadığın halde arka planda çok enerji harcayan bir uygulama arıyorsun. Böyle bir uygulamayı kaldır. Uygulamaları yalnız resmî mağazadan kur. Diğer işaretler için telefonum hacklendi mi kontrol listesine bak.

Tekrar bulaşmayı nasıl önlersin?

• Korsan program ve crack kullanma.
• Programları yalnız geliştiricinin resmî sitesinden ya da resmî mağazadan indir.
• İşletim sistemini, tarayıcıyı ve eklentileri güncel tut.
• Eklenti sayısını en aza indir.
• Beklemediğin e-posta eklerini açma.
• Ayda bir Görev Yöneticisi'ne bak ve tanımadığın süreci araştır.

Bir bilişim sistemine izinsiz girmek TCK 243'e, sisteme veri yerleştirmek TCK 244'e göre suçtur. Cihazına madenci yerleştirildiğinden ve zarar gördüğünden eminsen en yakın polis merkezine, jandarmaya ya da Cumhuriyet Başsavcılığına şikâyette bulun. Kayıtları ve ekran görüntülerini sakla. Madenciyi indiren zararlı bağlantıyı USOM'a bildir.

Kurumsal ortamda madenci nasıl yakalanır?

ATT&CK bu tekniğin önleyici kontrollerle kolayca engellenemediğini, bu yüzden davranış izlemenin gerektiğini söyler. Önerdiği işaretler şunlardır: uzun süre yüksek seyreden işlemci kullanımı, madenci aracını ya da karartılmış betiği çağıran komut satırları, madencilik havuzlarına giden bağlantılar, yeni zamanlanmış görevler ve izinsiz başlatılan konteyner ya da bulut sunucuları. Sunucularda işlemci eşiği için uyarı kur ve dışarı giden bağlantıları izle.

Kaynaklar

• MITRE ATT&CK: T1496 Resource Hijacking
• MITRE ATT&CK: T1496.001 Compute Hijacking
• Mozilla Destek: Sekmelerin ya da eklentilerin Firefox'u yavaşlatıp yavaşlatmadığını görme
• Mevzuat Bilgi Sistemi: 5237 sayılı Türk Ceza Kanunu