Xakep #305. Многошаговые SQL-инъекции
Вредоносными и тем более легитимными майнерами сегодня уже некого не удивишь. К примеру, замаскированная малварь, предназначенная для «добычи» криптовалют, регулярно проникает даже в официальный каталог приложений Google Play. Так, мобильный троян Loapi не только скрыто майнил криптовалюту, но при этом так нагружал зараженные устройства, что те выходили из строя.
Нечто похожее произошло 12 марта 2018 года в официальном App Store для Mac, с одной лишь поправкой – приложение со встроенным майнером оказалось легитимным.
Разработчик популярного приложения Calendar 2, компания Qbix, решил расширить функциональность своего продукта новой опцией: в приложении появился встроенный майнер криптовалюты Monero, включив который пользователи могли «отплатить» разработчикам, получив таким образом доступ к премиальным функциям. При этом майнер должен был включаться только с согласия и ведома пользователей, исключительно на добровольной основе. Приложение честно предлагало отказаться от платных функций или приобрести полную версию за обычные деньги.
Компания Apple не ответила на запросы журналистов и не пояснила, нарушают ли действия создателей Calendar 2 правила App Store, а приложение оставалось доступно для скачивания более суток. ИБ-специалисты, в свою очередь, даже успели провести детальный анализ «подозрительной программы» и встроенного в нее майнера.
Неизвестно, как эта ситуация развивалась бы в дальнейшем, но представители Qbix сами решили срочно отказаться от использования майнера. Дело в том, что тот работал совсем не так, как было задумано. Первый баг заставлял приложение майнить Monero в любом случае, независимо от того, какую опцию выбрал пользователь в настройках. Второй баг приводил к тому, что майнер поглощал слишком много ресурсов. Изначально планировалось, что «добыча» криптовалюты будет отнимать не более 10-20% ресурсов устройства, но на деле эти значения оказались значительно выше. На компанию обрушился шквал жалоб от возмущенных пользователей, которые требовали немедленно исправить ситуацию.
@SGgrc @QbixApps Calendar 2 for Mac (from the App Store) launched a cryptocurrency miner without my permission. Then it ate 200% CPU until I found it and killed it. I didn't expect a miner infection from an App Store vendor. Wow. It runs the xmr-stak Monero miner.
— Fred Laxton (@fredonline) March 12, 2018
Глава Qbix рассказал журналистам ArsTechnica, что удалить майнер из Calendar 2 было решено по трем причинам:
«1) Компания, предоставившая нам майнинговую библиотеку, не раскрыла ее исходный код, а на исправление проблемы с [перегрузкой] CPU у них уйдет слишком много времени.
2) Выпуск [этой версии приложения] стал идеальным штормом из багов, из-за чего могло возникнуть впечатление, будто наша компания *хотела* майнить криптовалюту без разрешения людей, а это идет в разрез со всеми идеалами и видением Qbix.
3) Лично я считаю, что Proof of Work обладает целым рядом опасных стимулирующих факторов, которые могут приводить к растрате электроэнергии в глобальном масштабе, с которым мы не сталкивались ранее. Мы не хотим, чтобы стимулирующие факторы “затянули” и нас, и надеемся, что наше решение полностью удалить майнер [из Calendar 2] создаст некий прецедент для других приложений».
В настоящее время Calendar 2 вообще пропал из App Store, но пока неясно, удалили приложение сами разработчики, или к делу все же подключились представители компании Apple.
