شما در حال مطالعه یک مستند فنی، یک مقاله خبری یا یک تالار گفتگوی آنلاین هستید. تنها پس از چند ثانیه، فن‌های خنک‌کننده رایانه با حداکثر سرعت شروع به چرخش می‌کنند. بدنه دستگاه به شدت داغ می‌شود، باتری لپ‌تاپ در کمتر از نیم ساعت از هشتاد درصد به بیست درصد سقوط می‌کند و حرکت نشانگر ماوس با کندی مواجه می‌گردد. با باز کردن ابزارهای توسعه‌دهنده مرورگر، هیچ فایل مشکوکی مشاهده نمی‌کنید. آنتی‌ویروس سلامت کامل سیستم را تایید می‌کند، در حالی که ابزار مدیریت وظایف نشان می‌دهد مرورگر تمام ظرفیت پردازنده را مصرف کرده است.

این یک باگ نرم‌افزاری ساده یا نشت حافظه نیست، بلکه سخت‌افزار شما مخفیانه در یک شبکه استخراج ارز دیجیتال به کار گرفته شده است. شما هدف حمله استخراج مخفیانه در مرورگر (Cryptojacking) از طریق وب‌اسمبلی (WASM) قرار گرفته‌اید؛ استانداردی پیشرفته که برای اجرای برنامه‌های گرافیکی سنگین در وب ایجاد شد، اما اکنون توسط مجرمان برای اجرای بایت‌کد دودویی غیرقابل شناسایی استفاده می‌شود.

مزایای اجرای دودویی بایت‌کد وب‌اسمبلی در مرورگر

برای درک جذابیت وب‌اسمبلی برای بدافزارها، باید تفاوت ساختاری میان اسکریپت‌های متنی و بایت‌کد کامپایل‌شده را بررسی کرد. سال‌هاست که برنامه‌های وب با زبان جاوا اسکریپت اجرا می‌شوند. جاوا اسکریپت زبانی مفسری است که موتورهای مرورگر (مانند V8 یا SpiderMonkey) کد متنی آن را خوانده، درخت ساختاری (AST) ساخته و سپس کامپایل می‌کنند. ماهیت متنی جاوا اسکریپت به آنتی‌ویروس‌ها اجازه می‌دهد کدهای مخرب را به سرعت بر اساس الگوهای مشخص شناسایی کنند.

وب‌اسمبلی این ساختار را دگرگون کرد. وب‌اسمبلی به عنوان یک فرمت دودویی فشرده اجازه می‌دهد زبان‌های سطح پایینی مانند C، C++ و Rust مستقیماً به ماژول‌های کامپایل‌شده تبدیل شوند. هنگام بارگذاری در مرورگر، این ماژول‌ها در یک ماشین مجازی با سرعتی نزدیک به سخت‌افزار واقعی — تا نود و پنج درصد سرعت اجرای محلی — کار می‌کنند.

مهاجمان از این توان پردازشی بالا برای کسب درآمد نامشروع استفاده می‌کنند. الگوریتم‌های اثبات کار مانند RandomX یا CryptoNight به محاسبات سنگین ریاضی و تغییرات مکرر حافظه نیاز دارند. اجرای این محاسبات در جاوا اسکریپت کند است، اما وب‌اسمبلی آن‌ها را با سرعتی فوق‌العاده اجرا کرده و بدون بستن کامل صفحه وب، بیشترین توان محاسباتی را از پردازنده قربانی استخراج می‌کند.

استخراج مخفیانه ارز دیجیتال و تکنیک‌های فرار در حافظه

خطر اصلی وب‌اسمبلی تنها سرعت پردازش نیست، بلکه پنهان‌کاری شدید آن در برابر ابزارهای امنیتی است:

  1. بسته‌های دودویی غیرشفاف: بر خلاف فایل‌های متنی، ماژول‌های وب‌اسمبلی به صورت باینری فشرده ارائه می‌شوند. مهاجمان جداول راهنما را حذف کرده و جریان اجرای کد را مبهم می‌کنند. موتورهای آنتی‌ویروس سنتی قادر به بررسی محتوای فایل‌های باینری نیستند و این امر عبور فایل از سدهای دفاعی را آسان می‌سازد.

  2. درگیر کردن هسته‌های پردازنده با Web Workers: برای جلوگیری از قفل شدن کامل ظاهر مرورگر — که کاربر را به بستن تب وادار می‌کند — اسکریپت‌ها از قابلیت Web Workers استفاده می‌کنند. اسکریپت اصلی به تعداد هسته‌های پردازنده، فرآیندهای پس‌زمینه ایجاد می‌کند تا هر فرآیند به صورت موازی به محاسبات هشینگ بپردازد، در حالی که صفحه اصلی به روانی اسکرول می‌شود.

  3. فرار از محیط‌های تحلیلی: بدافزارهای پیشرفته وب‌اسمبلی مجهز به سامانه‌های خودکار شناسایی محیط هستند. قبل از شروع محاسبات، وضعیت باتری و نرخ فریم بررسی می‌شود. در صورت استفاده از باتری یا باز شدن ابزار عیب‌یابی (F12)، اسکریپت فعالیت خود را فوراً به حداقل رسانده یا متوقف می‌کند.

  4. حملات کانال جانبی ریزمعماری: علاوه بر استخراج رمزارز، ساعت‌های دقیق وب‌اسمبلی می‌توانند برای حملات کانال جانبی علیه حافظه نهان پردازنده (مانند واریانت‌های Spectre) مورد سوءاستفاده قرار گیرند.

راهکارهای چندلایه دفاعی: فیلتر اسکریپت‌ها و جداسازی شبکه

مهار حملات وب‌اسمبلی نیازمند نظارت همزمان بر اجرای اسکریپت‌ها در مرورگر و مسدودسازی ارتباطات شبکه به سمت استخرهای استخراج است:

کنترل اسکریپت‌ها و فرآیندهای پس‌زمینه مرورگر

جهت حفظ منابع پردازشی دستگاه، اقدامات زیر را به کار بگیرید:

  • استفاده از مسدودکننده‌های محتوا: افزونه‌های معتبر مرورگر را با فهرست‌های به‌روز مسدودسازی اسکریپت‌های ماینینگ فعال نگه دارید.
  • محدودسازی اجرای کدهای ناشناس: در محیط‌های کاری حساس، اجرای کدهای وب‌اسمبلی را تنها به دامنه‌ها و ابزارهای شناخته‌شده گرافیکی یا ویرایش ویدیو محدود کنید.
  • بررسی مصرف پردازنده در مرورگر: با داغ شدن ناگهانی رایانه، با کلیدهای Shift + Esc مدیر وظایف داخلی مرورگر را باز کرده و تب مشکوک را ببندید.

قطع ارتباط با استخرهای استخراج از طریق تونل رمزنگاری

ماژول وب‌اسمبلی به تنهایی قادر به کسب سود نیست، بلکه باید نتایج هشینگ را از طریق ارتباط وب‌سوکت یا پروتکل Stratum به سرور استخر ارسال کند.

نرم‌افزار VPNRice با تکیه بر الگوریتم‌های مدرن رمزنگاری نظیر ChaCha20-Poly1305 و AES-256-GCM، سدی مستحکم در لایه انتقال شبکه ایجاد می‌کند. پروتکل‌های اختصاصی RiceGuard و RiceGuardX با حذف نشانه‌های استاندارد ترافیک، اتصالات خروجی به استخرهای استخراج را شناسایی و مسدود می‌کنند تا کد مخرب توان ارسال نتایج را از دست بدهد.

پیش از مراجعه به سایت‌های جدید، وضعیت شبکه خود را با ابزار بررسی نشانی آی‌پی تحلیل کرده و با استفاده از آزمون نشت WebRTC از عدم نشت آدرس‌های محلی اطمینان حاصل نمایید. تلفیق مدیریت اسکریپت‌ها و رمزنگاری داده‌ها، سخت‌افزار شما را در برابر بهره‌برداری غیرمجاز محافظت می‌کند.