Ein Cryptominer ist im Sicherheitskontext ein Programm oder Skript, das heimlich die Rechenleistung von CPU oder GPU fremder Geräte zum Schürfen von Kryptowährungen nutzt, damit die Angreifer virtuelle Währung verdienen.
Auf einen Blick
Die Energiekosten der Opfer können den Gewinn der Täter um ein Vielfaches übersteigen.
Bleibt die CPU-Auslastung auch ohne laufende Anwendungen hoch und laufen die Lüfter auf voller Drehzahl, kann das auf einen Cryptominer hinweisen.
Der Zugang gelingt etwa über Fehlkonfigurationen und Softwaresicherheitslücken.
Was ist Cryptominer?
Cryptominer erzeugen Kryptowährung für Angreifer, indem sie auf fremden Systemen Berechnungen im Proof-of-Work-Verfahren ausführen. Die dabei anfallenden Berechnungen verbrauchen Rechenleistung des befallenen Systems, während die erzielten Erträge bei den Angreifern landen. Dafür kommen Kryptowährungen infrage, die sich mit gewöhnlicher Hardware noch rentabel schürfen lassen, etwa Monero. Ein auf dem System installierter Miner läuft als eigenständiger Prozess, der sich als legitimer Systemdienst tarnen kann. Als Cryptominer kann auch ein legitimes Open-Source-Mining-Programm dienen, das Kriminelle auf fremde Rechner schleusen, um dauerhaft von deren Rechenleistung zu profitieren.
Ein Cryptominer missbraucht die Rechenleistung kompromittierter Systeme eines Versicherers zum Schürfen von Kryptowährungen; dadurch können Energieverbrauch steigen, Hardware belastet und die Systemleistung beeinträchtigt werden. Auch Cloud-Ressourcen können betroffen sein, wenn Angreifer Fehlkonfigurationen und Softwaresicherheitslücken ausnutzen. Der Befall bleibt womöglich lange unentdeckt, weil die Schäden gering erscheinen und Cryptojacking oft als geringfügiges Problem betrachtet wird. Stellen sich die Angreifer geschickt an, bleiben ihnen Tage bis Wochen oder gar Monate, bevor die Opfer das Problem erkennen. Die Angreifer nutzen dafür die Rechenkapazität der Opfer, die auch die Stromkosten tragen.
Wie funktioniert Cryptominer?
Ein Cryptominer gelangt über Fehlkonfigurationen, Softwaresicherheitslücken oder manipulierte Komponenten auf ein System und rechnet dort im Hintergrund für die Angreifer. Dokumentierte Zugangswege sind offen erreichbare Verwaltungsoberflächen wie Dashboards und Schnittstellen, über die eine Kampagne den quelloffenen Miner XMRig aus öffentlichen Release-Archiven nachlud, statt eigene Schadsoftware einzusetzen. In einer anderen Kampagne wurde ein von Webseiten eingebundenes Plugin um ein verstecktes Mining-Skript ergänzt, das auf den Rechnern der Besucher lief. Auch ungeschützte Workflow-Instanzen in Kubernetes-Umgebungen wurden genutzt. Anders als frühere Kampagnen mit JavaScript im Browser nistete sich der Schadcode in einem dokumentierten Fall dauerhaft auf den Rechnern ein.
Nach der Infektion belegt der Miner CPU oder GPU. Cryptojacking-Malware kann wurmartige Eigenschaften besitzen und sich im Netzwerk ausbreiten. Eine dokumentierte Variante stoppt das Mining, sobald der PC im Akkubetrieb läuft oder ein Task-Manager entdeckt wird. Dauerhaft hohe Auslastung kann die Hardware abnutzen, besonders bei Systemen, die rund um die Uhr nahe der Kapazitätsgrenze laufen; mehrere ausgelastete Systeme lassen die Stromkosten einer Organisation steigen.
Cryptominer im Vergleich
| Kriterium | Cryptominer | Ransomware |
|---|---|---|
| Wahrnehmung als Bedrohung | Wird oft als geringfügiges Problem betrachtet, weil die Schäden gering erscheinen. | Wird als Bedrohung wahrgenommen. |
| Zugangsweg | Gelangt etwa über Fehlkonfigurationen und Softwaresicherheitslücken auf das System; ein eingebauter Miner kann anzeigen, dass das System für Angreifer erreichbar ist. | Über dieselben Schwachstellen können auch Ransomware-Akteure Systeme infizieren. |
Woran erkenne ich einen Cryptominer?
| Signal | Woran erkennbar |
|---|---|
| Dauerhaft hohe CPU-Auslastung | Die Auslastung kann hoch bleiben, auch wenn keine Anwendungen laufen. |
| Starke Wärmeentwicklung | Das System kann heiß laufen, und die Lüfter können mit voller Drehzahl laufen. |
| Verdächtige Prozesse und Verbindungen | Anhaltend hohe CPU-Last zusammen mit verdächtigen Befehlszeilen (etwa Mining-Tools oder verschleierte Skripte) und ausgehenden Verbindungen zu Mining- oder Proxy-Netzwerken. |
| Übermäßig lange laufende Workflows | In Cluster-Umgebungen kann ein Workflow, der übermäßig lange läuft, auf einen bereitgestellten Miner hinweisen. |
Schutz im Ernstfall
Vorbeugen
- Systeme und Cloud-Ressourcen richtig konfigurieren und Sicherheitslücken schließen, weil Angreifer Fehlkonfigurationen und Schwachstellen für den Zugang nutzen.
- Das Netzwerk segmentieren; Segmentierung kann verhindern, dass sich Mining-Malware seitlich im Netz ausbreitet.
- DNS-Filter einsetzen, die Verbindungen zu bekannten Mining-Pools verhindern sollen.
- Laufzeiten von Workflows und die CPU-Auslastung von Servern durch die IT überwachen lassen.
Was tun im Ernstfall
- Das betroffene System vom Netzwerk trennen.
- Den Vorfall sofort der IT-Sicherheit melden.
- Das System durch die IT-Sicherheit analysieren und neu aufsetzen lassen.
- Die Fehlkonfiguration oder Sicherheitslücke, über die der Miner eingedrungen ist, schließen lassen, bevor das System wieder ans Netz geht.
Beispiele aus der Praxis
- In einer dokumentierten Kampagne wurde der quelloffene Miner XMRig in Standardversionen aus öffentlichen Release-Archiven auf Systeme mit offen erreichbaren Dashboards und Docker-Engine-Schnittstellen geladen.
- Im Jahr 2018 enthielten Tausende Webseiten, darunter Behördenauftritte, über ein manipuliertes Plugin ein verstecktes Mining-Skript namens CoinHive.
- Dokumentiert ist, dass Angreifer ungeschützte Workflow-Instanzen in Kubernetes-Umgebungen missbrauchen, um Cryptominer bereitzustellen; ungeschützte Instanzen fanden sich bei Organisationen aus Technologie, Finanzwesen und Logistik.
- Läuft auf Systemen eines Versicherers ein Cryptominer, können Energieverbrauch und Hardwarebelastung steigen und die Leistung der Systeme leiden.
Die Varianten im Detail (3)
Kryptomining-Malware Kryptomining-Malware ist Schadsoftware, die heimlich Rechenleistung für das Schürfen von Kryptowährung nutzt.
Sie gelangt über manipulierte Downloads, Sicherheitslücken oder Browser-Skripte auf Geräte. Spürbar wird sie durch hohe Auslastung, Lüfterlärm und steigenden Stromverbrauch, während Daten meist unangetastet bleiben.
Rogue-Kryptominer Rogue-Kryptominer ist ein Miner, der ohne Wissen und Einwilligung der Eigentümer auf Systemen läuft.
Das Wort rogue grenzt ihn von bewusst betriebenem Mining ab. Der Erlös fließt an die Angreifer, die Kosten für Strom und Verschleiß tragen die betroffenen Geräte- oder Cloud-Betreiber.
XMRig-Miner XMRig-Miner ist eine quelloffene Mining-Software, die häufig missbräuchlich in Schadprogramme eingebunden wird.
Das Programm selbst ist legitim und frei verfügbar. Angreifer nutzen es als fertigen Baustein, um infizierte Rechner ohne eigenen Entwicklungsaufwand zum Schürfen einzusetzen, weshalb Sicherheitslösungen es als potenziell unerwünscht einstufen.
