Cryptominer.

Ein Cryptominer nutzt Rechenleistung, um die Proof-of-Work-Aufgaben zu lösen, die eine Kryptowährung absichern, und erhält dafür Block-Belohnungen. Legitime Miner installiert der Eigentümer; bösartige Cryptominer werden durch Malware abgelegt oder in Webseiten eingeschleust und laufen verdeckt – sie stehlen Strom und Rechenleistung, ein Missbrauch namens Cryptojacking. Angreifer zielen überwiegend mit dem Open-Source-Miner XMRig auf Monero (XMR), weil Moneros RandomX-Algorithmus CPU-tauglich ist und seine Ring-Signaturen die Zahlungsverfolgung erschweren.

Reale Kampagnen zeigen das Ausmaß. Im Februar 2018 stellte RedLock fest, dass Eindringlinge die nicht authentifizierte Kubernetes-Administrationskonsole von Tesla erreicht, AWS-Zugangsdaten erlangt und Mining-Pods mit Umgehungstechniken betrieben hatten – der Pool hinter CloudFlare versteckt, die CPU gedrosselt. Im Oktober 2019 dokumentierte Palo Altos Unit 42 Graboid, den ersten Cryptojacking-Wurm, der sich über unsichere Docker-Daemons verbreitet, rund 2.000 Hosts infizierte und Monero in Schüben schürfte. Familien wie Kinsing und WannaMine (das den EternalBlue-Exploit wiederverwendete) zeigen, wie Miner exponierte Cloud-Dienste und ungepatchte Hosts ausnutzen.

Anzeichen: anhaltend hohe CPU-/GPU-Last, kurzlebige Kindprozesse und ausgehende Verbindungen zu Stratum-Mining-Pools. Da die meisten Endpoint-Tools das Innere von Containern nicht prüfen, brauchen Cloud- und Kubernetes-Workloads eigene Überwachung. Abwehr: standardmäßig exponierte Admin-Konsolen entfernen, Pool-Domains und Stratum-Ports blockieren, Application-Allow-Listing sowie Kosten-/Auslastungs-Anomaliewarnungen, die unerwartetes Rechenwachstum melden.

flowchart TD
  A[Exponierte Docker/K8s-API oder ungepatchter Host] --> B[Angreifer legt XMRig-Payload ab]
  B --> C[Miner laeuft verdeckt mit gedrosselter CPU]
  C --> D[Verbindet sich mit Stratum-Mining-Pool]
  D --> E[Monero XMR an die Angreifer-Wallet]
  C --> F[Wurm sucht das naechste Opfer]
  F --> A