Криптоджекинг: что такое скрытый майнинг и как защититься

Криптоджекинг — несанкционированное использование чужих вычислительных ресурсов для добычи криптовалюты в пользу злоумышленника, без ведома и согласия владельца этих ресурсов. Термин образован от cryptocurrency и hijacking («угон») и описывает не отдельное семейство вредоносного ПО, а способ монетизации доступа к чужому «железу» или облачному счёту: злоумышленнику не нужно ничего продавать или вымогать — достаточно незаметно занять чужие вычислительные мощности расчётами, за которые в итоге расплачивается владелец ресурса — временем работы устройства, электричеством или облачным счётом.

Ресурсом для криптоджекинга становится всё, что способно выполнять вычисления: домашний компьютер, рабочая станция в офисе, сервер компании, виртуальная машина или контейнер в облаке, а иногда и вкладка браузера, открытая на заражённой странице. Масштаб ущерба сильно различается — от заметно севшей батареи ноутбука до счёта в облаке на несколько порядков выше обычного, если злоумышленник получил доступ к серверной или облачной инфраструктуре компании.

Ключевое отличие криптоджекинга от большинства других угроз — предмет кражи. Вредоносное ПО чаще нацелено на данные: их похищают, шифруют ради выкупа или используют для дальнейшего движения по сети. Криптоджекинг крадёт не данные, а ресурсы. Прямой утечки информации при чистом криптоджекинге может и не быть, но сам факт заражения означает, что защита где-то пробита — а тем же каналом проникновения впоследствии способна воспользоваться и другая, более разрушительная нагрузка.

У криптоджекинга три основных вектора — заражение через браузер, заражение устройства вредоносным ПО и компрометация серверной или облачной инфраструктуры. Различаются они масштабом ущерба и способом доставки, но объединяет их одно: майнинг запускают без согласия владельца ресурса.

↔ таблицу можно прокрутить вбок

Третий вектор — компрометация облачных и серверных ресурсов — заметно опаснее для бизнеса по масштабу ущерба: одна скомпрометированная учётная запись с правами на создание виртуальных машин способна за считаные дни превратиться в облачный счёт на порядки выше обычного, тогда как заражённый ноутбук сотрудника такого масштаба ущерба почти никогда не достигает.

Прямых признаков у криптоджекинга немного, и все они косвенные — рост нагрузки на вычислительные ресурсы без объяснимой причины. Ни один из них по отдельности не доказывает заражение, но их совпадение — повод проверить процессы и сетевые подключения.

• Аномальная загрузка CPU или GPU. Устройство или сервер стабильно работают на высокой нагрузке процессора или видеокарты в состоянии простоя, когда пользователь ничего ресурсоёмкого не запускал.
• Замедление системы. Приложения и интерфейс реагируют заметно медленнее обычного — процессор занят чужими вычислениями, а не задачами пользователя.
• Перегрев и шум вентиляторов. Постоянная высокая нагрузка увеличивает температуру компонентов, из-за чего система охлаждения работает громче и чаще обычного.
• Рост потребления электроэнергии. Для стационарных устройств и особенно для серверных ферм устойчивый рост энергопотребления без изменения рабочей нагрузки — заметный косвенный сигнал.
• Неожиданный рост счёта за облако. Для облачной инфраструктуры это часто первый и самый явный сигнал: резкий скачок расходов на вычислительные ресурсы или появление виртуальных машин и контейнеров, которые никто не создавал.

Защита строится по тем же принципам, что и от большинства вредоносного ПО, с поправкой на облачный вектор: обнаружение на конечных точках, блокировка на уровне браузера и контроль облачных ресурсов.

• Антивирус и EDR. Современные средства защиты конечных точек умеют детектировать сигнатуры и поведенческие паттерны майнинговых процессов — характерную постоянную нагрузку на процессор и обращения к пулам майнинга по сети.
• Блокировка вредоносных скриптов в браузере. Расширения-блокировщики скриптов и веб-фильтрация на уровне сети закрывают вектор браузерного майнинга ещё до того, как скрипт успеет загрузиться и начать работу.
• Контроль устанавливаемого ПО. Ограничение прав на установку программ и белые списки приложений снижают шанс, что майнер-вредонос вообще запустится на рабочей станции или сервере.
• Патч-менеджмент. Майнер-вредонос часто доставляют через известные уязвимости в ПО — регулярные обновления закрывают этот путь заражения так же, как и для других видов вредоносного ПО.
• Мониторинг нагрузки и облачного биллинга. Для серверной и облачной инфраструктуры — контроль доступа к ключам API, разграничение прав на создание вычислительных ресурсов и регулярная проверка счёта за облако как индикатора аномальной активности.