Xmrig Miner İnceleme

Bu yazımda, Xmrig Miner’ı Sanal Makinede kurup processleri inceleyeceğim.

Öncelikle Xmrig Miner’ın Ne Olduğunu Öğrenelim:

XMRig, açık kaynaklı bir kripto para madenciliği yazılımıdır. XMRig, madencilik işlemlerini gerçekleştirmek için CPU (Merkezi İşlem Birimi) ve GPU (Grafik İşlem Birimi) gibi donanım kaynaklarını kullanır.

XMRig, kullanıcıların bilgisi ve izni dahilinde kripto para madenciliği yapmalarını sağlayan meşru bir yazılımdır. Ancak, kötü niyetli kişiler, kullanıcıların bilgisi veya izni olmadan XMRig gibi yazılımları gizlice kullanarak, bilgisayarları ve kaynakları istismar ederek kripto para madenciliği yapabilirler. Bu tür istismarlar “cryptojacking” olarak adlandırılır.

Bu yazıda, izniniz dışında bilgisayarınızda XMRig Miner’ın çalıştığı senaryoyu canlandıracağız. Ve arka planda neler oluyor onu gözlemleyeceğiz.

Öncelikle XMRig Miner’ı sanal makinemize kuruyoruz:

Tar dosyasını açtıktan sonra, programı çalıştıracağız:

Ve “XMRig” çalışmaya başladı:

Çalıştıktan sonra karşımıza yapılan işlemler çıkıyor, bu işlemleri inceleyecek olursak, 3333 portundan bir istek geldiğini görüyoruz, bu şimdilik aklımızda kalsın.

Ardından Windows’da bulunan “Task Manager” görevini gören, makinede gerçekleşen processleri incelememizi sağlayan komutu çalıştırıyoruz ama biz Linux’da olduğumuz için “ps aux” komutunu kullanacağız ve inceleyeceğimiz programın adını bildiğimiz için grep komutuyla da aramamızı daraltacağız.

Gördüğümüz gibi, xmrig çalışmaya başladıktan sonra CPU’nun %64'ünü ve memory’nin %13'unu kullanmaya başlamış bile.

Daha detaylı process analizini görebilmek için “htop” isimli bir araç yüklüyoruz, onunla incelemeye devam edeceğiz. Burada da CPU’nun tamamının kullanıldığını görmek mümkün.

3333 portuna istekler yapıldığını fark etmiştik. Bu nedenle tcpdump ile “3333” portunu dinlemeye başlıyoruz.

Daha detaylı analiz için Wireshark kullanıyoruz:

Burada source ip adresini görebiliyoruz, şimdi ip adresini aratalım. Ipinfo.io sitesinden ip adresini aratıyoruz:

Ardından xmrig’in çalışmasını durduruyoruz, yani en azından biz öyle sanıyoruz:

Xmrig’i durdurduktan sonra htop aracı ile tekrar çalışan processlere bakalım:

Hala CPU’yu ve memory’i kullandığını görebiliyoruz:

Ancak “kill PID” komutunu kullandığımızda, işe yaradığını görüyoruz:

Yukarıdaki ekran görüntüsünde “3749” PID’li processi kil komutuyla durdurmayı başardık.

Şimdi ise killall <process ismi> komutuyla tüm xmrig processlerini durduracağız.

CPU ve Memory kullanımı normale döndü:

Okuduğunuz için teşekkürler.