Cryptominer.

Um cryptominer usa poder de computação para resolver os desafios de prova de trabalho que asseguram uma criptomoeda, obtendo recompensas de bloco. Os mineradores legítimos são instalados pelo proprietário; os maliciosos são largados por malware ou injetados em páginas web e correm ocultos, roubando eletricidade e computação — um abuso chamado cryptojacking. Os atacantes visam maioritariamente o Monero (XMR) com o minerador de código aberto XMRig, porque o algoritmo RandomX do Monero é adequado a CPU e as suas assinaturas em anel dificultam o rastreio de pagamentos.

Campanhas reais mostram a escala. Em fevereiro de 2018, a RedLock descobriu que intrusos tinham alcançado a consola de administração Kubernetes da Tesla, sem autenticação, obtido credenciais AWS e executado pods de mineração com técnicas de evasão — o pool escondido atrás da CloudFlare e a CPU limitada. Em outubro de 2019, a Unit 42 da Palo Alto documentou o Graboid, o primeiro worm de cryptojacking a propagar-se por daemons Docker inseguros, infetando cerca de 2.000 anfitriões e minerando Monero em rajadas. Famílias como Kinsing e WannaMine (que reutilizou o exploit EternalBlue) mostram como os mineradores se apoiam em serviços cloud expostos e anfitriões sem correções.

Indicadores: CPU/GPU consistentemente sobrecarregado, processos-filho efémeros e ligações de saída para pools Stratum. Como a maioria das ferramentas de endpoint não inspeciona o interior dos contentores, as cargas cloud e Kubernetes precisam de monitorização dedicada. Defesas: remover consolas de administração expostas por defeito, bloquear domínios de pools e portas Stratum, allow-listing de aplicações e alertas de anomalia de custo/utilização que sinalizem crescimento inesperado de computação.

flowchart TD
  A[API Docker/K8s exposta ou anfitriao sem correcoes] --> B[O atacante larga o payload XMRig]
  B --> C[O minerador corre oculto com CPU limitada]
  C --> D[Liga-se a um pool de mineracao Stratum]
  D --> E[Monero XMR enviado para a carteira do atacante]
  C --> F[O worm procura a proxima vitima]
  F --> A