Cryptojacking.

O cryptojacking sequestra o CPU, GPU ou conta de cloud da vítima para minerar criptomoeda, quase sempre Monero (XMR), por ser anónima e rentável em CPUs comuns. Dominam três estilos. A mineração no navegador (drive-by) teve o seu auge com o Coinhive, um minerador JavaScript lançado em 2017 e embebido — muitas vezes sem consentimento — em milhares de sites e cadeias de malvertising, até ao seu encerramento em março de 2019. O malware de host larga um minerador após a intrusão; worms como o WannaMine espalharam-se via exploit EternalBlue. O abuso de cloud é hoje o mais caro: em fevereiro de 2018 a RedLock encontrou mineração dentro da conta AWS da Tesla depois de alcançar uma consola de administração Kubernetes desprotegida, com um minerador Stratum personalizado e evasivo. Em outubro de 2019 a Palo Alto Unit 42 documentou o Graboid, o primeiro worm de cryptojacking a espalhar-se por mais de 2000 hosts Docker expostos. Grupos como TeamTNT e Kinsing varrem continuamente APIs Docker e Kubernetes expostas.

Como nada é cifrado nem exfiltrado, o cryptojacking esconde-se durante meses; os sinais são CPU/GPU no máximo, sobreaquecimento e faturas de cloud inesperadas.

flowchart TD
  A[Atacante] --> B{Método de acesso}
  B -->|JS malicioso em site| C[O navegador da vítima minera]
  B -->|Malware dropper| D[O endpoint CPU/GPU minera]
  B -->|Credenciais roubadas / API exposta| E[Instâncias de cloud criadas]
  C --> F[Hashes para o pool de mineração]
  D --> F
  E --> F
  F --> G[Monero pago à carteira do atacante]
  H[Defesas: EDR, bloqueadores,<br/>baselines de recursos, auditoria IAM] -.bloqueia.-> C & D & E

As defesas incluem antimalware de endpoint e EDR, bloqueadores no navegador, baselines de processos e recursos, restrição de saída para pools conhecidos e auditoria rigorosa de permissões IAM e endpoints de gestão expostos.