Was ist Cryptojacking?

Cryptojacking ist eine Cyberbedrohung, bei der es um unbefugtes Mining von Kryptowährungen auf Kosten ahnungsloser Einzelpersonen oder Organisationen geht. Cryptojacking-Aktivitäten können über längere Zeiträume unentdeckt bleiben, wodurch Angreifer weiterhin Zugriff auf Hardware ohne dass dabei Kosten entstehen.

Was ist Cryptojacking?

Cryptojacking bezeichnet die unbefugte Nutzung von Rechenressourcen zum Mining digitaler Währungen wie Monero, Ethereum oder anderer datenschutzorientierter Coins. Angreifer integrieren bösartige Skripte or Malware in Webseiten, Anwendungen oder Dateien, Entführung von Opfern CPU or GPU Macht, kryptografische Rätsel zu lösen und digitale Münzen zu verdienen. Leistungseinbußen, erhöhter Energieverbrauch und Überhitzung des Systems sind häufige Folgen.

Cryptojacking ist für Cyberkriminelle eine attraktive Taktik, da herkömmliches Kryptowährungs-Mining erhebliche Infrastrukturkosten verursacht, von spezieller Hardware (ASICs oder GPUs) bis hin zum Stromverbrauch. Indem Cryptojacker ahnungslose Hosts ausnutzen, umgehen sie diese Kosten vollständig und wälzen sowohl die Geräte- als auch die Stromrechnung auf das Opfer ab.

Ist Kryptojacking illegal?

Cryptojacking ist in den meisten Rechtsgebieten illegal, da es auf der nicht einvernehmlichen Ausbeutung von Computerressourcen beruht. Gesetzgeber vergleichen Cryptojacking mit der Bereitstellung von Malware, unbefugtem Systemzugriff oder Computerbetrug. Cyber-Kriminelle Wer an Kryptojacking teilnimmt, kann nach Gesetzen wegen unrechtmäßigem Zugriff, unberechtigter Änderung von Daten und Diebstahl von Computerdiensten strafrechtlich verfolgt werden. Die Strafen variieren je nach regionalen Bestimmungen, aber Täter müssen oft mit hohen Geldstrafen, Vermögensbeschlagnahme oder Gefängnisstrafen rechnen.

Strafverfolgungsbehörden verfolgen Cryptojacking-Kampagnen durch die Zusammenarbeit mit Anbietern von Cybersicherheit. Technische Beweise – wie digitale Signaturen von Cryptomining-Malware, Domänenregistrierungen für Mining-Pools oder Daten aus kompromittierten Infrastrukturen – helfen den Behörden dabei, die Einzelpersonen oder Gruppen zu identifizieren, die groß angelegte Angriffe orchestrieren.

Da Kryptowährungen global verbreitet sind, gestaltet sich die Strafverfolgung und Zuordnung schwierig. Dennoch verfeinern internationale Task Forces zur Cyberkriminalität ihre Ansätze zur Bekämpfung von Cryptojacking-Vorfällen ständig.

Wie funktioniert Kryptojacking?

Dies sind die gängigen Methoden, die Cyberkriminelle zum Kryptojacking verwenden:

• Malware-Infektionen. Angreifer bündeln Kryptomining-Payloads oft mit Trojan Dropper, bösartige ausführbare Dateien oder gefälschte Software-Updates. Opfer starten diese Pakete unabsichtlich und lösen damit Kryptomining im Hintergrund aus. Bestimmte Varianten bleiben bestehen, indem sie Systemregister ändern, Startskripte einfügen oder Sicherheitsprozesse deaktivieren, um ein unterbrechungsfreies Mining zu gewährleisten.
• Browserbasierte Skripte. Web-Browser-basiertes Cryptojacking basiert auf bösartigen JavaScript Snippets, die auf kompromittierten Websites oder durch bösartige Werbung (Malvertising) eingebettet sind. Der Code beginnt sofort mit dem Mining, sobald der Browser des Benutzers die Webseite lädt, und verbraucht CPU-Ressourcen, bis der Benutzer wegnavigiert oder den Tab schließt. Hartnäckige Varianten können Pop-under-Fenster erzeugen, die auch nach dem Schließen des primären Tabs weiter geöffnet bleiben.
• Drive-by-Downloads. Bei Drive-by-Downloads werden ungeplante Downloads erzwungen, wenn Benutzer infizierte Websites besuchen oder auf irreführende Popups klicken. Angreifer nutzen veraltete Browser-Plugins, ungepatchte Content-Management-Systeme, oder ungesicherte Browsereinstellungen, um Dateidownloads mit Kryptomining-Modulen zu initiieren.
• Exploits und Schwachstellen. Nutzt Schwachstellen im Zielsystem oder Netzwerk aus, wie z. B. schwaches SMB (server Nachrichtenblock) Konfigurationen oder ungepatchte Betriebssysteme. Angreifer nutzen bekannte Schwachstellen wie EternalBlue oder BlueKeep, um Kryptomining-Code remote auszuführen und ihn automatisch über Unternehmensnetzwerke zu verbreiten oder data centers.
• Phishing und E-Mail-Kampagnen. Phishing Angriffe verbreiten Cryptojacking-Malware, indem sie Einzelpersonen dazu verleiten, auf bösartige Links zu klicken oder infizierte Anhänge zu öffnen. Angreifer geben sich häufig als seriöse Marken oder vertrauenswürdige Parteien aus und verleiten die Empfänger dazu, versehentlich die Cryptomining-Nutzlast auszulösen.

Arten von Cryptojacking

Es gibt mehrere Methoden des Cryptojacking, die jeweils unterschiedliche Methoden hinsichtlich Verbreitung, Persistenz und Ressourcenverbrauch nutzen.

Dateibasiertes Cryptojacking

Bei dieser Methode werden herkömmliche Malware-Dateien auf das System des Opfers übertragen. Hier sind die Merkmale von dateibasiertem Cryptojacking:

• Schädliche ausführbare Dateien. Angreifer verpacken Kryptomining-Komponenten in betrügerische Installationsprogramme oder mit Trojanern infizierte Software-Updates.
• Persistenzmechanismen. Die Schadsoftware kann geplante Aufgaben konfigurieren, Registrierungseinträge ändern oder Startskripte manipulieren, um einen automatischen Neustart zu ermöglichen.
• Verschleierungstechniken. Techniken wie Code Packing oder Verschlüsselung Verbergen Sie die Mining-Funktionen und verhindern Sie so eine schnelle Erkennung durch Antiviren-Engines.
• Funktionen zur Ressourcenverwaltung. Einige Malware passt die Mining-Intensität an in Echtzeit um die Generierung von Warnungen oder eine spürbare Leistungsverlangsamung zu vermeiden.

Browserbasiertes Cryptojacking

Browserbasiertes Cryptojacking nutzt in erster Linie Web-Scripting-Technologien, um Rechenleistung zu nutzen. So unterscheidet sich diese Methode von dateibasierten Methoden:

• Keine direkte Installation. Angreifer müssen keine Dateien auf dem Computer des Opfers installieren. JavaScript wird sofort ausgeführt, wenn ein Benutzer eine infizierte Seite besucht.
• Ausführung im laufenden Betrieb. Der Mining-Prozess wird beendet, sobald die Registerkarte oder das Fenster geschlossen wird, sofern keine speziellen Pop-unders oder dauerhaften Skripte weiter ausgeführt werden.
• Anforderungen an die Benutzerinteraktion. Erfordert im Allgemeinen, dass das Opfer auf eine kompromittierte Site oder Anzeige zugreift.
• Zuordnung infrage stellen. Die bösartigen Skripte stammen oft aus Werbenetzwerken Dritter oder versteckt iFrames, was die Ermittlungen zur wahren Quelle erschwert.

Cloud Kryptojacken

Cloud Kryptojacking-Ziele virtualisiert Umgebungen und nutzt moderne Bereitstellungsmethoden. Hier ist eine Übersicht:

• Zugriff über gestohlene Anmeldeinformationen. Angreifer melden sich an bei cloud Plattformen, die durchgesickerte oder schwache Anmeldeinformationen verwenden und große, für das Kryptomining optimierte Instanzen erstellen.
• Fehlkonfigurationen und Konten mit zu vielen Privilegien. Schlecht regiert Identitäts- und Zugriffsverwaltung ermöglichen Angreifern die Ausweitung ihrer Rechte und die Schaffung unbegrenzter Container oder virtuelle Maschinen.
• Hohe finanzielle Auswirkungen. Die Kosten für die überhöhte Nutzung der Infrastruktur trägt die geschädigte Organisation.
• Erweiterte Persistenz. Einige Angreifer integrieren Modifikationen auf Containerebene, Skript-Injektionen in Docker-Bilderoder Kryptominer, die in flüchtigen Workloads die schwer zu erkennen sind.

Kryptojacking im IoT

IoT Beim Cryptojacking werden die typischerweise minimale Sicherheitslage und die begrenzten Ressourcen der angeschlossenen Geräte ausgenutzt:

• Leichte Malware. Angreifer entwickeln Mining-Skripte, die für stromsparende Chips in IoT-Umgebungen optimiert sind.
• Botnet-Potenzial. Große Schwärme infizierter IoT-Geräte generieren gemeinsam Mining-Einnahmen im großen Stil.
• Begrenzte Sicherheitskontrollen. Legacy Protokolle, selten Firmware Updates und Standardanmeldeinformationen setzen IoT-Geräte ungeschützt aus.
• Langfristiger Einsatz. IoT-Kryptominer bleiben häufig bis zum Geräteausfall oder einem wesentlichen Firmware-Update in Betrieb, da die Besitzer die Ressourcennutzung selten überwachen.

Beispiele für Cryptojacking-Angriffe

Nachfolgend finden Sie eine Liste realer Cryptojacking-Vorfälle, die veranschaulichen, wie Angreifer Systeme infiltrieren, Konfigurationen manipulieren und Ressourcen ausnutzen.

Teslas öffentliche Cloud Kryptojacken

Im Jahr 2018 entdeckten Sicherheitsforscher, dass Angreifer Teslas Amazon Web Services (AWS)-Umgebung kompromittiert hatten. Die Angreifer infiltrierten eine ungesicherte Verwaltungskonsole und installierten Kryptomining-Software auf falsch konfigurierten Kubernetes Instanzen. Zu den Stealth-Maßnahmen gehörte das Verbergen der Mining-Pool-Adresse hinter CloudFlare-Dienste, wodurch es schwieriger zu erkennen ist. Teslas Ingenieure bemerkten schließlich eine ungewöhnliche Ressourcennutzung, was zu einer internen Untersuchung führte, die den Cryptojacking-Vorfall aufdeckte.

Der browserbasierte Miner „The Pirate Bay“

Auf der Torrent-Index-Site The Pirate Bay wurde ein Coinhive-Skript ausgeführt, das die CPU-Leistung der Benutzer für Kryptomining nutzte. Die Site-Betreiber implementierten das Skript zunächst, ohne die Besucher zu benachrichtigen, was zu Protesten der Benutzergemeinschaft wegen der unangekündigten Ressourcennutzung führte. Der Vorfall erregte große Medienaufmerksamkeit und löste Debatten darüber aus, ob die Ausführung von Kryptomining-Skripten eine Alternative zu herkömmlichen Online-Werbemodellen darstellen könnte.

YouTube-Anzeigen mit Cryptojacking-Code

Anfang 2018 enthielten bösartige Anzeigen auf YouTube versteckte JavaScript-Miner. Angreifer kauften Werbeflächen und verschleierten Kryptomining-Nutzdaten in scheinbar harmlosen Anzeigen. Zuschauer, die auf diese Anzeigen stießen, erlebten einen Anstieg der CPU-Auslastung, was darauf hindeutete, dass Kryptomining-Code in ihren Browsern ausgeführt wurde. Die Sicherheitsteams von Google blockierten schließlich die anstößigen Anzeigen und entfernten die zugehörigen Werbekonten.

Browserbasiertes Cryptojacking im WLAN von Starbucks

Im Jahr 2017 beschwerten sich Kunden einer Starbucks-Filiale über plötzliche CPU-Spitzen, während sie mit dem kostenlosen WLAN des Cafés verbunden waren. Untersuchungen ergaben, dass ein bösartiges Skript in das Authentifizierungsportal des Netzwerks eingefügt wurde, wodurch die Geräte der Besucher im Hintergrund Kryptowährungen schürften. Der Internetdienstanbieter, der den Starbucks-Hotspot betreibt, entfernte das Skript schließlich, nachdem Sicherheitsexperten das Problem öffentlich gemacht hatten.

Wie erkennen Sie Cryptojacking?

So erkennen Sie Anzeichen für Cryptojacking:

• Analyse der Systemleistung. Längere Zeiträume mit hoher CPU- oder GPU-Auslastung außerhalb der Spitzenzeiten sind mögliche Hinweise darauf, dass Kryptomining stattfindet. Automatisierte Überwachungstools, einschließlich Echtzeit-Leistungs-Dashboards, können Anomalien isolieren, die von etablierten Normen abweichen.
• Überwachung des Netzwerkverkehrs. Beim Cryptojacking werden ausgehende Verbindungen zu Mining-Pools oder von Angreifern verwalteten serversSie können Netzwerkflussprotokolle verwenden, Intrusion Prevention-Systemeund Bedrohungsanalysefilter, um verdächtige Verbindungen zu erkennen. Ungewöhnliche Spitzen in DNS Anfragen an Unbekannte Domains oder Mining-Pools sind starke Indikatoren für Cryptojacking-Aktivitäten.
• Scannen mit Sicherheitstools. Endpoint-Protection-Lösungen enthalten häufig spezielle Signaturen oder Heuristiken, die auf Kryptomining-Malware zugeschnitten sind. Regelmäßige Antiviren-Scans, hostbasierte Einbrucherkennungssystem (HIDS) und Endpoint Detection and Response (EDR)-Plattformen helfen bei der Identifizierung verdächtiger Prozesse. Regelmäßige Updates dieser Tools sind notwendig, um neue Cryptojacking-Varianten zu erfassen.
• Browserüberprüfung. Wenn Cryptojacking browserbasiert ist, liefert die Überprüfung geöffneter Tabs oder Entwicklerkonsolen Hinweise auf bösartige Skripte. Nicht autorisierte Skripte, die in die Website eingebettet sind Quellcode, eine ungewöhnlich hohe CPU-Auslastung im Zusammenhang mit einer bestimmten Registerkarte oder Browsererweiterungen mit fragwürdigen Berechtigungen sind häufige Hinweise auf ein Cryptojacking-Skript.
• Protokoll- und Ereigniskorrelation. Zentralisierte Log-Management-Lösungen wie SIEM-Plattformen, korrelieren Ereignisse aus mehreren Quellen (Betriebssysteme, Netzwerkgeräte und Sicherheitstools). Analysten, die Korrelationsregeln anwenden, die sich auf anomale Prozessstarts, neu erstellte Benutzerkonten oder wiederholte fehlgeschlagene Anmeldeversuche konzentrieren, können Cryptojacking-Versuche aufdecken.

Wie kann man Kryptojacking verhindern?

Um Cryptojacking zu verhindern, ist eine Kombination aus Software-Updates, Konfigurationsmanagement und Benutzerschulung erforderlich. Im Folgenden finden Sie eine Einführung in wichtige Maßnahmen, die die Abwehr gegen Cryptomining-Angriffe stärken.

1. Software- und Firmware-Updates durchführen

Sicherheitspatches und Firmware-Upgrades wirken Schwachstellen entgegen, die von Cryptojackern ausgenutzt werden. Automatisierte Patch-Management stellt sicher, dass alle Umgebungen—auf dem Gelände, cloud, oder mobil – bleiben Sie auf dem neuesten Stand. Veraltete Systeme bieten keinen Schutz vor öffentlich bekannt gewordenen Exploits, die für den Einsatz von Cryptojacking verwendet werden.

2. Verwenden Sie Browsererweiterungen oder Skriptblocker

Skript-Blockierung Erweiterungen, datenschutzorientierte Add-ons und integrierte Browserfunktionen (wie das Deaktivieren von JavaScript für nicht vertrauenswürdige Websites) reduzieren die Gefährdung erheblich. Werbeblocker, die so konfiguriert sind, dass sie bekanntes Kryptomining blockieren URLs potenzielle Angriffe, die auf bösartigen Werbeskripten basieren, weiter abschwächen.

3. E-Mail- und Webfilter verstärken

Erweiterte E-Mail-Filterung, Sandboxen Anhänge und URL-Scans in Echtzeit blockieren Phishing-E-Mails oder Links zu kompromittierten Websites. Unternehmen setzen häufig DNS-Filterlösungen ein, die Versuche, bösartige Domänen aufzulösen, abfangen und so das Laden von Cryptojacking-Sites verhindern.

4. Verbessern Sie den Endpunktschutz

Virenschutz der nächsten Generation und EDR-Lösungen bieten Verhaltensanalysen und Speicherscans für Kryptomining-Muster. Einige Produkte drosseln oder beenden Prozesse, die Merkmale aufweisen, die mit Kryptominern übereinstimmen, wie z. B. eine dauerhaft hohe CPU-Auslastung, die nichts mit bekannten legitimen Vorgängen zu tun hat.

5. Sichern Cloud Environments

Sicherung cloud Plattformen beinhalten starke Identitäts- und Zugriffsverwaltung (ICH BIN), Netzwerksegmentierung, Containersicherheit und Workload-Scanning. Systemadministratoren sollten Warnungen zur Ressourcennutzung integrieren, die Teams über ungewöhnliche Spitzen in der CPU-Auslastung informieren. Protokollierung und Überwachung im großen Maßstab können Kryptojacking in Kubernetes oder Docker Ökosysteme.

6. Personal schulen

Phishing, Social Engineeringund bösartige Anhänge bleiben die wichtigsten Verbreitungsmechanismen für Cryptojacking-Malware. Regelmäßige Schulungen zur Cybersicherheit heben die Taktiken der Angreifer hervor und weisen die Mitarbeiter an, E-Mail-Quellen zu überprüfen und nicht auf verdächtige Links zu klicken oder Makros in unbekannten Dateien zu aktivieren.

Wie entferne ich Cryptojacking?

So neutralisieren Sie Cryptojacking-Infektionen:

Identifizieren Sie die Infektionsquelle

Verwenden Sie Systemscans, Netzwerkprotokolle und Leistungsmetriken, um Kryptomining-Prozesse aufzuspüren. Untersuchungen können bösartige ausführbare Dateien, Skripte oder verdächtige Benutzerkonten aufdecken, die von Angreifern erstellt wurden. Die Identifizierung von Patient-Zero-Geräten hilft Ihnen, die anfänglichen Angriffsvektor und eine weitere Ausbreitung einzudämmen.

Beenden Sie schädliche Prozesse

Das Beenden aktiver Mining-Sitzungen ist entscheidend, um anhaltende Schäden zu minimieren. Isolieren Sie infizierte Maschinen vom Netzwerk und beenden Sie Cryptojacking-Prozesse mithilfe von Betriebssystembefehlen, Sicherheitssoftwarekonsolen oder manuellen Dienstbeendigungen. Eine sofortige Eindämmung hilft dabei, Angreifer daran zu hindern, die kompromittierten Endpunkte zu kontrollieren.

Entfernen Sie schädliche Dateien oder Skripte

Beim dateibasierten Cryptojacking werden häufig ausführbare Dateien oder dynamische Bibliotheken in versteckten Verzeichnissen abgelegt. Suchen Sie diese mithilfe von forensischen Tools, hashbasierten Suchen oder Antivirenscans. Sobald Sie die bösartigen Objekte identifiziert haben, löschen Sie sie oder stellen Sie sie unter Quarantäne. Beim browserbasierten Cryptojacking müssen möglicherweise Erweiterungen deinstalliert und Caches, oder das Entfernen eingefügten Codes aus Site-Vorlagen.

Neuaufbau oder Wiederherstellung kompromittierter Systeme

Durch die Neuabbildung betroffener Geräte wird eine gründliche Bereinigung aller hartnäckigen Cryptojacking-Komponenten sichergestellt. Kritisch servers verlassen sich in der Regel auf aktuelle backups, um den Betrieb schnell wiederherzustellen. Bestätigen Sie die Integrität von backup Bilder oder Snapshots vor der erneuten Bereitstellung in Produktionsumgebungen.

Stärkung der Sicherheitskontrollen

Cryptojacking-Vorfälle heben Bereiche mit unzureichender Sicherheitslage hervor. Verfeinern Sie Ihre Patch-Kadenz, härten Sie Konfigurationen ab und schränken Sie Administratorrechte ein. Um zu verhindern, dass Cryptojacker erneut Fuß fassen, überprüfen Sie regelmäßig Ihre Firewall Regeln, Richtlinien zur Netzwerksegmentierung und Einstellungen zur Angriffsprävention.

Kontinuierliche Überwachung und Prüfung

Routine Schwachstellenanalysen, und zentralisierte Protokollüberprüfungen sind unerlässlich, um neue Kryptojacking-Taktiken vorherzusehen. Nutzen Sie Echtzeit Bedrohungsanalyse und Anomalieerkennungssysteme, die verdächtige Muster kennzeichnen. Laufende Prüfungen stellen sicher, dass bestehende Schwachstellen geschlossen bleiben, wodurch das Risiko von Kryptojacking auf lange Sicht deutlich reduziert wird.