Was ist Cryptojacking? Arten und Beispiele aus der Praxis
Erfahren Sie, was Cryptojacking ist, welche Arten es gibt, wie es funktioniert und wie Sie es erkennen und sich davor schützen.
Cryptojacking hat sich in den letzten Jahren zu einer ernsten Bedrohung für die Cybersecurity entwickelt. Bei diesem Cyberangriff werden Rechenressourcen gestohlen, um ohne Genehmigung Kryptowährungen zu schürfen. Unerlaubtes Mining kann insbesondere für den Finanzsektor hohe Verluste verursachen. Beschädigte Hardware und steigender Energieverbrauch erhöhen zudem die Betriebskosten von Unternehmen.
In diesem Blogbeitrag erklären wir Cryptojacking und stellen Angriffstechniken, Erkennungsmethoden und Abwehrstrategien vor. Außerdem zeigen wir, wie Angreifer Mining-Malware über verschiedene Angriffsvektoren verbreiten, welche Anzeichen auf eine Kompromittierung hindeuten und wie Sie sich am besten vor diesen Bedrohungen schützen.
Was ist Cryptojacking?
Beim Cryptojacking werden Geräte gekapert, um Kryptowährungen zu schürfen. Angreifer schleusen Malware ein, die das betroffene Gerät komplexe mathematische Berechnungen für das Mining ausführen lässt. Beim Mining werden Kryptowährungstransaktionen verifiziert und in der Blockchain aufgezeichnet.
Mining benötigt viel Rechenleistung. Cryptojacker kapern Systeme und nutzen deren CPU und GPU für das Mining. Sie konzentrieren sich meist auf Kryptowährungen, deren Mining mit gewöhnlicher Computerhardware noch profitabel ist, etwa Monero ( da sich dessen Mining-Algorithmus gut für CPUs eignet).
Warum ist Cryptojacking so gefährlich?
Cryptojacking kann Unternehmen erheblich schaden, weil es im großen Maßstab lange unentdeckt bleiben kann. Die Nutzung der CPU-Ressourcen für das Mining beeinträchtigt unmittelbar die Systemleistung. Sie kann zudem die Hardware verschleißen, insbesondere bei Systemen, die rund um die Uhr an oder nahe ihrer Kapazitätsgrenze laufen.
Die Bedrohung betrifft nicht nur einzelne Geräte. Cryptojacking-Malware verfügt häufig über wurmähnliche Eigenschaften und verbreitet sich so im gesamten Netzwerk. Sie sucht nach weiteren verwundbaren Systemen und baut ein Netzwerk aus Mining-Knoten auf. Das vergrößert die Angriffsfläche und erschwert die Entfernung der Malware.
Auswirkungen von Cryptojacking
Die finanziellen Folgen von Cryptojacking steigen nicht linear. Wenn mehrere Systeme unter Volllast laufen, schießen die Stromkosten eines Unternehmens in die Höhe. Dauerhafter Verschleiß verursacht Kosten für den Austausch von Hardware. Hinzu kommen Leistungseinbußen, Zeitaufwand für die erneute Bereitstellung von Diensten und ein erhöhtes Ausfallrisiko. Weitere geschäftliche Folgen sind:
- Verstoß gegen regulatorische Vorgaben durch die Ausführung nicht autorisierten Codes
- Risiko einer rechtlichen Haftung für nicht autorisierte Mining-Aktivitäten
Auch die Umweltbelastung ist erheblich. Wenn Angreifer Rechenzentren oder Cloud-Infrastruktur ins Visier nehmen, können Cryptojacking-Aktivitäten große Ausmaße annehmen und Energieverbrauch sowie CO₂-Emissionen deutlich erhöhen.
Häufige Anzeichen für Cryptojacking
Systemadministratoren erkennen Cryptojacking an einigen typischen Anzeichen. Die CPU-Auslastung bleibt hoch, selbst wenn das System im Leerlauf ist und keine Benutzeranwendungen laufen. Im Task-Manager oder in einem Systemüberwachungstool erscheinen unbekannte Prozesse mit hohem Ressourcenverbrauch.
Solche Muster werden meist durch Netzwerküberwachung sichtbar. Infizierte Systeme halten ausgehende Verbindungen zu Mining-Pools oder Command-and-Control-Servern (C2) aufrecht. Diese Verbindungen nutzen häufig für Mining-Protokolle typische Verfahren, die Sicherheitsteams erkennen müssen.
Betroffene Hardware zeigt auch physische Anzeichen. Die Systeme werden heiß und die Lüfter laufen auf Hochtouren. Bei batteriebetriebenen Geräten verkürzt sich die Akkulaufzeit erheblich. Im Extremfall stürzen Systeme ab oder schalten sich zum Schutz vor Überhitzung ab.
Cryptojacking im Browser hat eigene Anzeichen. Schon bei wenigen geöffneten Tabs können Webbrowser die CPU vollständig auslasten. Die Leistung bleibt beeinträchtigt, bis die betreffenden Browser-Tabs geschlossen werden.
Arten von Cryptojacking-Angriffen
Cryptojacking hat in den letzten Jahren viel Aufmerksamkeit erhalten. Die Angriffsart ist jedoch nicht einheitlich: Angreifer nutzen unterschiedliche Methoden, um in Systeme einzudringen und Kryptowährungen zu schürfen. Die Angriffe unterscheiden sich hinsichtlich ihrer Bereitstellung, ihrer Persistenz und ihrer Auswirkungen.
1. Browserbasiertes Cryptojacking
Bei browserbasiertem Cryptojacking wird Mining-Code in Webbrowsern ausgeführt, möglicherweise weil Hacker Websites übernommen haben. JavaScript-Miner starten automatisch, wenn Benutzer infizierte Websites besuchen. Da keine Dateien auf das System heruntergeladen werden, bemerken Benutzer den Vorgang möglicherweise nicht.
2. Binärdateibasiertes Cryptojacking
Bei binärdateibasierten Angriffen schleusen Angreifer schädliche ausführbare Dateien auf Zielsysteme ein. Diese Miner laufen als eigenständige Prozesse, die (meist) als legitime Systemdienste getarnt sind. Sie überstehen Systemneustarts und sind oft effizienter als browserbasierte Miner, da sie direkt auf die Hardware zugreifen können.
3. Cryptojacking über die Softwarelieferkette
Bei Cryptojacking über die Softwarelieferkette werden legitime Softwarevertriebskanäle missbraucht, um Mining-Malware zu verbreiten. Angreifer fügen Softwarepaketen, Updates oder Abhängigkeiten Mining-Code hinzu. Wenn Benutzer betroffene Software installieren oder aktualisieren, werden die Mining-Komponenten zusammen mit einer digitalen Signatur automatisch bereitgestellt.
4. Dateiloses Cryptojacking
Bei dateilosem Cryptojacking läuft der gesamte Prozess im Arbeitsspeicher, ohne Dateien auf die Festplatte zu schreiben. Angreifer nutzen PowerShell-Skripte oder andere integrierte Windows-Tools, um Mining-Code herunterzuladen und auszuführen. Da keine Artefakte auf der Festplatte zurückbleiben, ist die Erkennung schwieriger.
5. Cryptojacking in der Cloud-Infrastruktur
Diese Angriffe zielen auf falsch konfigurierte Cloud-Ressourcen und Container. Angreifer installieren Miner in Cloud-Instanzen über offengelegte Verwaltungsschnittstellen oder schwache Zugangsdaten. Mit kompromittierten, ansonsten legitimen Zugangsdaten können sie zusätzliche Cloud-Ressourcen bereitstellen. So können diese Angriffe schnell große Ausmaße annehmen.
Wie funktionieren Cryptojacking-Angriffe?
Bei Cryptojacking setzen Angreifer Mining-Code über mehrere technische Schritte ein und sorgen dafür, dass er dauerhaft aktiv bleibt. Die Techniken unterscheiden sich in ihren Angriffsvektoren und der Art der Ausnutzung. Im Kern verfolgen sie jedoch denselben Ansatz: Die Mining-Leistung maximieren und dabei unentdeckt bleiben.
Browserbasierte Einschleusungstechniken
Der erste Schritt beim browserbasierten Cryptojacking besteht darin, legitime Websites zu kompromittieren. Bei Domain-Crawler-Angriffen betten Hacker Mining-JavaScript-Code über anfällige Plugins, veraltete Content-Management-Systeme oder kompromittierte Bibliotheken von Drittanbietern in Webseiten ein. Sobald der Code im Browser eines Besuchers ausgeführt wird, verbindet er sich über WebSocket-Verbindungen mit Mining-Pools und beginnt mit dem Mining. Diese Skripte enthalten häufig Drosselungsmechanismen, damit sie weniger auffallen, und nutzen eine Domain-Verifizierung, um Code-Duplikate zu vermeiden.
Binärdateibasierte Angriffe
Binärdateibasierte Angriffe beginnen mit einer ersten Systemkompromittierung durch Phishing, Exploits oder schädliche Downloads. Anschließend werden ausführbare Mining-Dateien und unterstützende Dateien in mehreren Systemordnern abgelegt. Diese enthalten Angaben zur Konfiguration von Mining-Pools, Wallet-Adressen und CPU-Nutzung. Persistenz erreichen die Angreifer durch Registry-Einträge, geplante Aufgaben oder die Installation eines Dienstes.
Methoden zur Kompromittierung der Softwarelieferkette
Diese Angriffe zielen auf Software-Build-Systeme, Update-Server oder Paket-Repositorys. Angreifer fügen dem Quellcode oder den Build-Skripten Mining-Komponenten hinzu. Die betroffenen Pakete erfüllen weiterhin ihren ursprünglichen Zweck, während im Hintergrund Mining läuft. Angreifer haben wiederholt rechtmäßig erworbene Code-Signing-Zertifikate seriöser Anbieter genutzt, um Erkennungsmechanismen oder Sicherheitskontrollen zu umgehen. Der Mining-Code startet nach der regulären Installation.
Methoden mit dateiloser Malware
Beim dateilosen Cryptojacking wird Mining-Code direkt im Arbeitsspeicher ausgeführt. Dazu werden Systemtools wie PowerShell oder Windows Management Instrumentation (WMI) genutzt. Solche Kompromittierungen erfolgen typischerweise über schädliche Skripte oder Makros. Die Skripte laden vom Command-Server verschlüsselte Mining-Konfigurationen herunter und entschlüsseln sie im Arbeitsspeicher. Der Angriff stellt über WMI-Ereignisabonnements oder Registry-Run-Keys sicher, dass der Mining-Code nach einem Neustart des Geräts erneut geladen wird.
Gängige Methoden zur Erkennung von Cryptojacking
Um Cryptojacking-Angriffe zu erkennen, müssen verschiedene Systemkomponenten überwacht und technische Indikatoren analysiert werden. Unternehmen brauchen einen mehrschichtigen Ansatz, um Mining-Aktivitäten in ihrer Infrastruktur zuverlässig zu identifizieren.
1. Indikatoren für die Systemleistung
Am Anfang steht die Überwachung der CPU- und GPU-Auslastung auf Anzeichen für Cryptojacking. Tools zur Überwachung der Prozessoraktivität lösen typischerweise einen Alert aus, wenn sie eine anhaltend hohe Auslastung außerhalb des normalen Betriebs feststellen. Temperatursensoren liefern Hinweise auf ungewöhnliche Temperaturverläufe. Die Anwendungsüberwachung zeigt ressourcenintensive Anwendungen an, die von ungewöhnlichen Speicherorten aus ausgeführt werden.
2. Analyse des Netzwerkverkehrs
Die zweite Methode, die netzwerkbasierte Erkennung, richtet den Blick auf die Kommunikation mit Mining-Pools. Deep Packet Inspection macht Verbindungen zu bekannten Mining-Pool-Domains und ausländischen IP-Adressen sichtbar. Erkennen Tools zur Verkehrsanalyse wiederkehrende Datenmuster, die Mining-Protokollen entsprechen, deutet das auf verdächtige Aktivitäten hin. Auch SSL/TLS-verschlüsselte Verbindungen zu Mining-Diensten werden erkannt.
3. Forensische Analyse des Arbeitsspeichers
Tools zur Arbeitsspeicheranalyse erstellen einen Speicherabzug, um Codeaktivitäten anhand von Signaturen zu untersuchen. Damit lassen sich Techniken zur Einschleusung von Mining-Code in Prozesse erkennen. Speicherscanner identifizieren Kryptowährungs-Wallet-Adressen und Mining-Pool-URLs im Prozessspeicher. Eine Analyse zur Laufzeit kann Codemuster aufdecken, die bekannten Mining-Algorithmen entsprechen.
4. Überwachung von PowerShell-Aktivitäten
Die Überwachung von PowerShell-Aktivitäten dient der Erkennung dateilosen Minings. Sicherheitstools protokollieren und analysieren ausgeführte PowerShell-Befehle. Das Script Block Logging erfasst Mining-Befehle und -Konfigurationen für Kryptowährungen. Das Module Logging zeichnet die Nutzung von PowerShell-Modulen für Mining auf. Das Transcription Logging erfasst vollständige Sitzungsdetails für die forensische Analyse von PowerShell-Sitzungen.
5. Analyse des Browserverhaltens
Tools zur Browserüberwachung prüfen automatisch, ob ein Browser über JavaScript Mining betreibt. Erweiterungsanalysatoren erkennen Mining-Code in Browsererweiterungen. Die Überwachung von Webseiten erfasst die Ausführung von JavaScript zum Schürfen von Kryptowährungen. Analysatoren für Netzwerkanfragen erkennen WebSocket-Verbindungen zu Mining-Diensten.
Best Practices zum Schutz vor Cryptojacking
Der Schutz von Systemen vor Cryptojacking erfordert eine Kombination aus Sicherheitskontrollen und betrieblichen Maßnahmen. Diese Maßnahmen bilden mehrere Verteidigungsebenen, die eine erste Kompromittierung und Mining-Versuche verhindern können.
1. Sicherheitskonfiguration des Browsers
Zunächst werden Sicherheitseinstellungen im Browser konfiguriert, um die Ausführung bestimmter JavaScript-Funktionen zu verhindern. Sicherheitsteams setzen Erweiterungen zur Skriptblockierung ein, die die Ausführung aktiven Mining-Codes unterbinden. Content Security Policies blockieren Mining-Domains. Browserrichtlinien können die Ausführung von WebAssembly in nicht vertrauenswürdigen Kontexten deaktivieren. Regelmäßige Browserupdates beheben Schwachstellen, über die Mining-Code eingeschleust werden kann.
2. Implementierung der Netzwerküberwachung
Zum Schutz des Netzwerks müssen Unternehmen Überwachungstools an geeigneten Stellen ihrer Infrastruktur einsetzen. Signaturen werden von Intrusion Detection Systems genutzt, um Mining-Pool-Datenverkehr zu erkennen. Netzwerksegmentierung blockiert Mining-Malware, die sich lateral ausbreitet. DNS-Filterung verhindert Verbindungen vom Zielsystem zu Domains, die als Mining-Pools identifiziert wurden. Die Überwachung der Bandbreite erkennt ungewöhnliche Verkehrsmuster kompromittierter Systeme.
3. Einrichtung des Endpunktschutzes
Sicherheitstools für Endpunkte schützen vor Mining-Malware. Application Whitelisting blockiert die Ausführung nicht autorisierter Miner. Wird ein Mining-Prozess erkannt, wird er beendet oder blockiert und kann keine weiteren schädlichen Aktivitäten ausführen. Alerts zur Ressourcenauslastung weisen auf verdächtige Systemaktivitäten hin. Die Überwachung der Dateiintegrität erfasst nicht autorisierte Änderungen am System. Arbeitsspeicherschutz erschwert Methoden zur Code-Injektion, die Miner einsetzen.
4. Anforderungen an das Sicherheitsbewusstsein
Programme zur Sensibilisierung für Sicherheit sollten Cryptojacking-Bedrohungen behandeln. Schulungen vermitteln, wie ungewöhnliches Systemverhalten erkannt wird. Mitarbeitende sollten lernen, Software sicher aus dem Internet herunterzuladen und auszuführen. Ein Prozess zur Meldung von Sicherheitsvorfällen versetzt Unternehmen in die Lage, schnell auf vermutete Infektionen zu reagieren.
5. Strategien für das Patch-Management
Patch-Management-Strategien schützen Systeme vor der Ausnutzung bekannter Schwachstellen. Sicherheitsteams sollten Updates für alle Systeme einplanen. Die automatisierte Bereitstellung von Patches sorgt dafür, dass Unternehmen rechtzeitig geschützt sind. Das Konfigurationsmanagement erfasst ungepatchte Systeme und überwacht den Patch-Status anhand von Schwachstellenscans in der gesamten Infrastruktur.
KI-gestützte Cybersicherheit
Verbessern Sie Ihre Sicherheitslage mit Echtzeit-Erkennung, maschineller Reaktion und vollständiger Transparenz Ihrer gesamten digitalen Umgebung.
Fazit
Cryptojacking ist eine anhaltende Cybersecurity-Bedrohung, deren Komplexität und Ausmaß weiter zunehmen. Solche Angriffe verbrauchen nicht nur Rechenressourcen. Sie können auch erhebliche finanzielle Verluste durch höhere Betriebskosten, Hardwareschäden und mögliche Bußgelder bei Verstößen gegen Vorschriften verursachen. Für Unternehmen wird es immer schwieriger, Miner zu erkennen und zu stoppen, da ihre Verschleierungstechniken zunehmend ausgefeilt sind.dateiloser Malware usw. ermöglicht es dem Unternehmen, die richtigen Abwehrmaßnahmen zu ergreifen. Eine solide Verteidigungsstrategie gegen Cryptojacking umfasst Systemüberwachung, Netzwerkanalyse und Sensibilisierung der Mitarbeiter.
"Unternehmen können ihre Cloud-Sicherheitsmaßnahmen und die damit verbundenen Kosten auf eine schnelle Erkennung und Reaktion abstimmen, um sich vor Cryptojacking zu schützen. Die Kenntnis dieser Angriffsvektoren, etwa browserbasierter Injektionen und dateiloser Malware, hilft Unternehmen, geeignete Schutzmaßnahmen einzusetzen. Eine wirksame Strategie gegen Cryptojacking umfasst Systemüberwachung, Netzwerkanalyse und die Sensibilisierung der Mitarbeitenden.
Häufig gestellte Fragen zu Cryptojacking
Bei Cryptojacking nutzen Angreifer unbemerkt die Rechenleistung ihrer Ziele, um Kryptowährungen zu schürfen. Der Mining-Code gelangt auf drei Wegen auf das Zielsystem: über ein Browser-Skript, eine schädliche ausführbare Datei oder dateilose Malware. So werden ohne Ihre Zustimmung Kryptowährungen geschürft.
Zu den Folgen von Cryptojacking zählen höhere Stromrechnungen, mögliche Hardwareschäden durch Überlastung und eine geringere Systemleistung. Unternehmen können zudem Produktivität verlieren, gegen Vorschriften verstoßen und zusätzliche Kosten für die Erkennung und Behebung der Angriffe tragen.
Cryptojacking erhöht die gesamte Mining-Leistung in Kryptowährungsnetzwerken ohne tatsächliche Kapitalinvestitionen und beeinflusst so die Kryptowährungsmärkte. Nicht autorisiertes Mining wirkt sich auch auf den Schwierigkeitsgrad des Schürfens aus und kann die Marktdynamik von Kryptowährungen verändern, die sich per CPU schürfen lassen.
Um Cryptojacking-Malware zu entfernen, müssen laufende Mining-Prozesse gefunden und beendet, schädliche Dateien gelöscht und Persistenzmechanismen beseitigt werden. Sicherheitstools scannen die Systeme, bereinigen Infektionen und prüfen anschließend, ob die Malware vollständig entfernt wurde.
Cryptojacking lässt sich erkennen, indem die CPU-Auslastung und ausgehende Netzwerkverbindungen zu Mining-Pools überwacht und Systeme nach Code-Signaturen von Mining-Malware durchsucht werden. Sicherheitstools erkennen verdächtige Prozesse, ungewöhnlichen Netzwerkverkehr und nicht autorisierte Ressourcennutzung.
Cryptojacking verstößt vor allem gegen Gesetze zum unbefugten Zugriff auf Computersysteme und kann strafrechtliche Folgen haben. Unternehmen, die unwissentlich Cryptojacking-Code ausführen, können gegen regulatorische Vorgaben verstoßen und für nicht autorisiertes Mining rechtlich haftbar gemacht werden.
Mehr erfahren über Cybersicherheit
Erleben Sie die fortschrittlichste Cybersicherheitsplattform
Erfahren Sie, wie die intelligenteste, autonome Cybersicherheitsplattform der Welt Ihr Unternehmen heute und in Zukunft schützen kann.
