Criptominero.

Un criptominero usa potencia de cálculo para resolver los problemas de prueba de trabajo que aseguran una criptomoneda, obteniendo recompensas de bloque. Los mineros legítimos los instala el propietario; los maliciosos los despliega malware o se inyectan en páginas web y se ejecutan ocultos, robando electricidad y cómputo —un abuso llamado cryptojacking. Los atacantes apuntan mayoritariamente a Monero (XMR) con el minero de código abierto XMRig, porque el algoritmo RandomX de Monero es apto para CPU y sus firmas de anillo dificultan rastrear los pagos.

Campañas reales muestran la escala. En febrero de 2018, RedLock descubrió que unos intrusos habían alcanzado la consola de administración de Kubernetes de Tesla, sin autenticación, obtenido credenciales de AWS y ejecutado pods de minería con técnicas de evasión —pool oculto tras CloudFlare y CPU limitada. En octubre de 2019, Unit 42 de Palo Alto documentó Graboid, el primer gusano de cryptojacking que se propaga por demonios Docker inseguros, infectando unos 2.000 hosts y minando Monero a ráfagas. Familias como Kinsing y WannaMine (que reutilizó el exploit EternalBlue) muestran cómo los mineros se apoyan en servicios cloud expuestos y hosts sin parchear.

Indicadores: carga alta y sostenida de CPU/GPU, procesos hijo efímeros y conexiones salientes a pools Stratum. Como la mayoría de herramientas de endpoint no inspeccionan dentro de los contenedores, las cargas cloud y Kubernetes necesitan vigilancia dedicada. Defensas: eliminar consolas de administración expuestas por defecto, bloquear dominios de pools y puertos Stratum, listas de aplicaciones permitidas y alertas de anomalías de coste/uso que detecten crecimiento inesperado de cómputo.

flowchart TD
  A[API de Docker/K8s expuesta o host sin parchear] --> B[El atacante despliega el payload XMRig]
  B --> C[El minero corre oculto con CPU limitada]
  C --> D[Se conecta a un pool de minería Stratum]
  D --> E[Monero XMR enviado a la cartera del atacante]
  C --> F[El gusano busca la siguiente víctima]
  F --> A