Криптомайнер.

Криптомайнер использует вычислительные мощности для решения задач proof-of-work, обеспечивающих безопасность криптовалюты, получая за это вознаграждение за блок. Легитимные майнеры устанавливает владелец; вредоносные криптомайнеры доставляются вредоносным ПО или встраиваются в веб-страницы и работают скрытно, воруя электричество и вычисления — это злоупотребление называют криптоджекингом (cryptojacking). Злоумышленники подавляющим образом нацелены на Monero (XMR) с помощью открытого майнера XMRig, потому что алгоритм RandomX у Monero ориентирован на CPU, а кольцевые подписи затрудняют отслеживание платежей.

Реальные кампании показывают масштаб. В феврале 2018 года RedLock обнаружила, что злоумышленники добрались до неаутентифицированной консоли администрирования Kubernetes у Tesla, получили учётные данные AWS и скрытно запускали майнинговые поды с приёмами уклонения — пул был спрятан за CloudFlare, а CPU ограничена. В октябре 2019 года Unit 42 из Palo Alto описала Graboid — первого криптоджекинг-червя, распространяющегося через незащищённые демоны Docker; он заразил около 2000 хостов и добывал Monero рывками. Семейства вроде Kinsing и WannaMine (который повторно использовал эксплойт EternalBlue) показывают, как майнеры паразитируют на открытых облачных сервисах и непропатченных хостах.

Признаки: устойчиво высокая загрузка CPU/GPU, короткоживущие дочерние процессы и исходящие соединения с пулами Stratum. Поскольку большинство endpoint-инструментов не проверяют содержимое контейнеров, облачным и Kubernetes-нагрузкам нужен отдельный мониторинг. Защита: убрать открытые по умолчанию консоли администрирования, блокировать домены пулов и порты Stratum, allow-list приложений и оповещения об аномалиях стоимости/использования, выявляющие неожиданный рост вычислений.

flowchart TD
  A[Открытый API Docker/K8s или непропатченный хост] --> B[Злоумышленник разворачивает payload XMRig]
  B --> C[Майнер работает скрытно с ограниченной CPU]
  C --> D[Подключается к пулу майнинга Stratum]
  D --> E[Monero XMR уходит в кошелёк злоумышленника]
  C --> F[Червь ищет следующую жертву]
  F --> A