Криптоджекинг (cryptojacking) — несанкционированное использование чужого компьютера, сервера или облачного аккаунта для майнинга криптовалюты, из-за которого системы тормозят, а счета за электричество и облако растут.
Как работает криптоджекинг
Атакующие устанавливают майнер — очень часто модифицированную сборку открытого XMRig, — который использует процессор или видеокарту жертвы для добычи криптовалюты, обычно Monero: её алгоритм хорошо работает на обычных процессорах. Типичные пути заражения:
- Взлом серверов — непропатченные веб-приложения, открытые Docker API, панели Kubernetes и экземпляры Redis.
- Украденные облачные учётные данные — запуск множества мощных облачных инстансов за счёт жертвы.
- Майнинг в браузере — майнеры на JavaScript, встроенные во взломанные сайты; так массово злоупотребляли сервисом Coinhive, работавшим с 2017 года до закрытия в 2019-м.
- Вредоносы и ботнеты — майнеры в комплекте с пиратскими программами или распространяемые ботнетами и червями.
В MITRE ATT&CK это техника Resource Hijacking (T1496). Группировки вроде TeamTNT специализировались на взломе облачных и контейнерных сред ради майнинга.
Почему криптоджекинг опасен
Криптоджекинг часто считают безобидным, но он обходится дорого: облачные счета на тысячи долларов, перегрев и износ батарей устройств, деградация бизнес-сервисов. Ещё важнее, что майнер доказывает: у атакующего есть выполнение кода, а тот же доступ можно использовать для кражи данных или запуска шифровальщика.
Как защититься от криптоджекинга
- Следить за загрузкой процессора и облачными расходами, настроить оповещения о резких скачках, особенно на серверах и в облаке.
- Обновлять сервисы, доступные из интернета, и никогда не открывать API управления Docker и Kubernetes без аутентификации.
- Защищать облачные ключи MFA и минимальными привилегиями, задать бюджетные оповещения.
- Блокировать подключения к известным майнинг-пулам и использовать расширения или блокировщики рекламы, которые останавливают скрипты майнинга.
