Cryptojacking.

Cryptojacking missbraucht CPU, GPU oder Cloud-Konten des Opfers, um Kryptowährung zu schürfen — fast immer Monero (XMR), da es anonym und auf gewöhnlichen CPUs profitabel ist. Drei Stile dominieren. Das Browser- (Drive-by-)Mining erreichte seinen Höhepunkt mit Coinhive, einem 2017 eingeführten JavaScript-Miner, der — oft ohne Zustimmung — in Tausende Websites und Malvertising-Ketten eingebettet wurde, bis zur Abschaltung im März 2019. Host-Malware legt nach der Kompromittierung einen Miner ab; Würmer wie WannaMine verbreiteten sich über den EternalBlue-Exploit. Cloud-Missbrauch ist heute am teuersten: Im Februar 2018 fand RedLock Mining in Teslas AWS-Konto, nachdem eine ungeschützte Kubernetes-Administrationskonsole erreicht wurde, mit einem angepassten, tarnenden Stratum-Miner. Im Oktober 2019 dokumentierte Palo Alto Unit 42 Graboid, den ersten Cryptojacking-Wurm, der sich über mehr als 2000 ungesicherte Docker-Hosts verbreitete. Gruppen wie TeamTNT und Kinsing scannen fortlaufend nach exponierten Docker- und Kubernetes-APIs.

Da nichts verschlüsselt oder exfiltriert wird, bleibt Cryptojacking monatelang verborgen; Anzeichen sind dauerhaft hohe CPU/GPU-Last, Überhitzung und überraschende Cloud-Rechnungen.

flowchart TD
  A[Angreifer] --> B{Zugriffsmethode}
  B -->|Bösartiges JS auf Website| C[Browser des Opfers schürft]
  B -->|Malware-Dropper| D[Endpoint CPU/GPU schürft]
  B -->|Gestohlene Zugänge / exponierte API| E[Cloud-Instanzen gestartet]
  C --> F[Hashes an Mining-Pool]
  D --> F
  E --> F
  F --> G[Monero an Angreifer-Wallet]
  H[Abwehr: EDR, Browser-Blocker,<br/>Ressourcen-Baselines, IAM-Audit] -.blockiert.-> C & D & E

Schutzmaßnahmen sind Endpoint-Antimalware und EDR, Browser-Blocker, Baselines für Prozesse und Ressourcen, das Einschränken ausgehender Verbindungen zu bekannten Pools sowie strenge Audits der IAM-Berechtigungen und exponierten Management-Endpoints.