Криптоджекинг.

Криптоджекинг захватывает CPU, GPU или облачные аккаунты жертвы для майнинга криптовалюты — почти всегда Monero (XMR), поскольку она анонимна и выгодно добывается на обычных процессорах. Доминируют три подхода. Браузерный (drive-by) майнинг достиг пика с Coinhive — JavaScript-майнером, запущенным в 2017 году и встраивавшимся, часто без согласия, в тысячи сайтов и цепочки malvertising, вплоть до закрытия в марте 2019 года. Хостовое ВПО размещает майнер после компрометации; черви вроде WannaMine распространялись через эксплойт EternalBlue. Злоупотребление облаком сегодня самое дорогое: в феврале 2018 года RedLock обнаружила майнинг внутри AWS-аккаунта Tesla после доступа к незащищённой консоли администрирования Kubernetes, где использовался кастомный, уклоняющийся от обнаружения майнер Stratum. В октябре 2019 года Palo Alto Unit 42 описала Graboid — первого криптоджекинг-червя, распространившегося более чем на 2000 открытых хостов Docker. Группы вроде TeamTNT и Kinsing непрерывно сканируют открытые API Docker и Kubernetes.

Так как ничего не шифруется и не похищается, криптоджекинг скрывается месяцами; признаки — стабильно высокая загрузка CPU/GPU, перегрев и неожиданные счета за облако.

flowchart TD
  A[Злоумышленник] --> B{Способ доступа}
  B -->|Вредоносный JS на сайте| C[Браузер жертвы майнит]
  B -->|Дроппер ВПО| D[Конечная точка CPU/GPU майнит]
  B -->|Украденные ключи / открытый API| E[Запуск облачных инстансов]
  C --> F[Хеши в майнинг-пул]
  D --> F
  E --> F
  F --> G[Monero на кошелёк злоумышленника]
  H[Защита: EDR, блокировщики,<br/>базовые уровни нагрузки, аудит IAM] -.блокирует.-> C & D & E

Защита включает антивирус конечных точек и EDR, блокировщики в браузере, базовые уровни процессов и ресурсов, ограничение исходящего трафика к известным пулам и строгий аудит прав IAM и открытых точек управления.