Das war nicht das Weihnachtsgeschenk, das Jonny Platt erwartet hatte.
Im Dezember berichtete der Gründer von SEO Scout, einem britischen Anbieter von Website-Analyse-Software, er sei „entsetzt“ gewesen, als er auf seiner Abrechnung für Amazon Web Services (AWS) Cloud-Computing-Gebühren in Höhe von 45 000 US-Dollar entdeckte, während die Kosten normalerweise bei etwa 300 US-Dollar pro Monat lagen. Ein „Betrüger“ hat sich offenbar mithilfe eines einfachen Hacks Zugang zum Cloud-Hosting-Konto seines Unternehmens verschafft, um Server-Rechenleistung zu stehlen – und zwar ausschließlich zu dem Zweck, durch das sogenannte „Coin Mining“ Kryptowährung zu generieren.
Die Beute des Hackers? Schätzungsweise sechs Monero – eine Menge an Kryptowährung, die zu diesem Zeitpunkt nur 1 100 US-Dollar wert war.
„Was für eine Verschwendung“, schrieb Platt in einem Twitter-Beitrag. „Die Mehrheit der [kleinen und mittleren Unternehmen], die darauf hereinfallen, würde durch eine plötzliche Rechnung in Höhe von 45 000 Dollar in den Ruin getrieben.“ „Ich kann Ihnen sagen, das ist verdammt beängstigend.“
Herr Platt, dem es schließlich gelang, AWS davon zu überzeugen, die Gebühr zu erlassen, gehört zu einer rasant wachsenden Zahl von Unternehmern, deren Systeme zum Schürfen von Kryptowährungen missbraucht wurden. Tatsächlich meldet Malwarebytes unter
einen Anstieg der Krypto-Mining-Malware um 300 % im Jahr 2021. SonicWall verzeichnete
51 Millionen Angriffe im ersten Halbjahr. Und laut Google
wurden 86 % der 50 Sicherheitsvorfälle bei Google Cloud zum Schürfen von Kryptowährungen genutzt.
Hacks zum Schürfen von Kryptowährungen, auch als „Cryptojacking“ bekannt, bleiben den meisten IT-Sicherheitsabteilungen häufig verborgen. Dies liegt zum Teil daran, dass sie nicht so katastrophale Folgen haben können wie bekanntere Bedrohungen, wie beispielsweise die Ransomware „ “ oder die Distributed-Denial-of-Service-Angriffe (DDoS) . Es liegt aber auch daran, dass diese Hacker versuchen, in Netzwerke einzudringen und sich dort so lange und so unbemerkt wie möglich aufzuhalten.
Ähnlich wie Diebe, die Wege finden, Bruchteile von Cent zu veruntreuen, die von den Banken übersehen werden – und dabei Millionen von Dollar erbeuten –, sind Kryptojacker erfolgreich, indem sie Zehntausende von Servern dazu bringen, ihre illegalen Machenschaften auszuführen.
Wie Kryptowährungs-Miner mit Cryptojacking Geld verdienen
Nur durch Hacking in großem Stil können Kriminelle mit dem Schürfen von Kryptowährungen wirklich Geld verdienen.
Für seriöse Unternehmer ist das Schürfen von Kryptowährungen ein mühsamer Prozess, bei dem leistungsstarke Computer eingesetzt werden, um äußerst komplexe mathematische Probleme zu überprüfen oder zu lösen, deren Ergebnisse in digitalen Hauptbüchern – sogenannten Blockchains – erfasst und nachverfolgt werden. Jedes Mal, wenn ein Miner ein Problem löst
, wird er mit digitalen Münzen belohnt. Unternehmer
, die über die richtige Ausrüstung und Geduld verfügen, können damit einen bescheidenen Lebensunterhalt
bestreiten.
„[Die meisten], die darauf hereinfallen, würden durch eine plötzliche Rechnung über 45 000 Dollar in den Ruin getrieben werden. Ich kann Ihnen sagen, das ist verdammt beängstigend.”Jonny Platt, Gründer von SEO Scout
Cyberkriminelle bevorzugen jedoch in der Regel größere Beute in Höhe von mehreren Millionen Dollar. Für sie liegt der Weg zum Erfolg darin, enorme Rechenleistung zu bündeln und eine riesige Anzahl von Problemen zu lösen – und zwar schnell und regelmäßig.
„Wenn Sie die Stromkosten für das Coin-Mining selbst tragen müssen, werden Sie damit nicht besonders viel Geld verdienen“, sagt Duncan Miller, Leiter des Bereichs Endpunktsicherheit beim Cybersicherheits- und Systemmanagement-Unternehmen Tanium. „Wenn Sie jedoch jemanden finden, der die Kosten für Sie übernimmt, wird die Sache schon wesentlich attraktiver.“
Cryptojacker erreichen dies mithilfe derselben Sicherheitslücken, die auch bei weiter verbreiteten Formen von Malware ausgenutzt werden. Phishing-Angriffe wie beispielsweise „“ verleiten Nutzer dazu, auf Links zu klicken, über die Skripte zum Schürfen von Kryptowährungen in Unternehmensnetzwerke eingeschleust werden. Ein weiterer Ansatz besteht darin, Skripte auf Websites oder in digitalen Anzeigen zu installieren. Das Skript wird ausgeführt, ohne dass etwas auf dem Computer des Benutzers installiert wird. Computerserver werden Teil des Krypto-Mining-Netzwerks und führen im Hintergrund Algorithmen aus. Die meisten Nutzer merken davon nichts.
Cryptojacker haben es auf leistungsstarke Grafikkarten abgesehen
Einige Kryptokriminelle haben es zudem auf Grafikkarten abgesehen, die häufig von Spielern und auch von den meisten Laptop-Nutzern verwendet werden, um sich auf diese Weise Rechenleistung für das Schürfen von Kryptowährungen zu verschaffen. Allerdings tun sie dies auf eine Weise, die eine IT-Abteilung von ihren nun im Homeoffice tätigen und gelegentlich auch spielenden Mitarbeitern vielleicht nicht erwarten würde.
So wurden beispielsweise die GPUs (Grafikprozessoren) von Nvidia zu einer beliebten Plattform für Kryptowährungs-Miner, die ihre Energieerzeugung maximieren wollten. Da dies jedoch nicht der vorgesehenen Nutzung entsprach, installierte der Anbieter eine Software namens „Lite Hash Rate“ (LHR), um solche Aktivitäten zu unterbinden. Dies löste gewissermaßen einen Krieg mit einer äußerst aktiven Hackergruppe namens Lapsus$ aus. Im Februar soll die südamerikanische Gruppe „ “ Berichten zufolge etwa 1 Terabyte an Daten von Nvidia gestohlen und damit gedroht haben, diese zu veröffentlichen, falls Nvidia seine LHR-Technologie nicht abschaffen würde.
Es ist unwahrscheinlich, dass ein durchschnittliches Unternehmen unmittelbar unter solchen Aktivitäten leidet, doch die betroffenen Unternehmen sehen sich in der Regel mit zahlreichen potenziellen Problemen konfrontiert. Es könnte beispielsweise zu Problemen mit der Netzwerkleistung kommen. Oder eine Überhitzung des Systems, die dann eine stärkere Kühlung erfordert. Infolgedessen könnten ihre Energiekosten in die Höhe schnellen. Auch der Zeitaufwand und die Kosten für den IT-Support könnten steigen, was den Druck auf die ohnehin schon unterbesetzten und überlasteten IT-Abteilungen weiter erhöhen würde. Und natürlich könnten sie bald mit stark überhöhten Rechnungen für Cloud-Dienste konfrontiert werden, wie es bei SEO Scout der Fall war.
[Auch interessant: Die steigende Notwendigkeit, IT und Sicherheit zu vereinheitlichen]
Zwar sind die Auswirkungen von Cryptojacking auf einzelne Netzwerke nicht immer gravierend; wenn es jedoch jemandem gelingt, Malware in ein Netzwerk einzuschleusen, um Kryptowährung zu schürfen, bedeutet dies, dass ein Unternehmen auch für andere Formen von Malware anfällig ist. Dies erklärt der Cybersicherheitsexperte Travis Taylor, der gemeinsam mit Adam Levin den Podcast „ : What the Hack“ unter moderiert.
„Sie könnten sich irgendwann dazu entschließen, auf bedrohlichere Arten von Malware umzusteigen“, erklärte Taylor gegenüber Endpoint. „Oder sie
könnten ihren Zugang an andere auf im Dark Web verkaufen. So oder so:
– Sie sind gefährdet.“
Bekämpfung von Cryptojacking durch Maßnahmen zur Cyberhygiene
John Pescatore, Leiter des Bereichs „Emerging Security Trends“ beim SANS Institute, erklärt, dass Hacks zum Schürfen von Kryptowährungen größtenteils „Standard-Angriffstechniken mit unterschiedlichen Payloads und unterschiedlichen Zielen“ nutzen. Daher sollten Unternehmen grundlegende Maßnahmen zur Cyberhygiene sowie Kontrollen anwenden, um Risiken zu minimieren und Schäden zu begrenzen.
„. Sie müssen sich ständig anpassen, um Hacker in Schach zu halten.“Travis Taylor, Experte für Cybersicherheit und Podcaster
Für den Einstieg empfiehlt Roland Diaz, Leiter des technischen Kundenmanagements bei Tanium, den Einsatz eines Tools zur Verwaltung von „ “-Assets ( ), um einen vollständigen und aktuellen Überblick über den Bestand an „“-Geräten () eines Unternehmens zu erhalten. Dabei geht es darum, nicht nur zu wissen, welche Computer, Server oder virtuellen Maschinen (VMs) auf das Netzwerk zugreifen, sondern auch, welche Anwendungen und Prozesse auf diesen laufen. So wie ein durchschnittlicher Computerbenutzer die Systemleistung seines PCs überprüft, um unter
herauszufinden, was diesen verlangsamt, ist es für IT-Abteilungen wichtig, ungewöhnliche Aktivitäten im gesamten Unternehmen zu überwachen, zu identifizieren und zu beheben, so Diaz.
„Mit der Asset-Verwaltung kann ich mich einloggen, mir die Liste meiner Systeme ansehen und sagen: ‚Okay, ich werde diese acht Anwendungen ins Visier nehmen, da ich weiß, dass sich darin Schadcode befindet.‘“
Miller von Tanium erklärt, dass IT-Sicherheitsteams zudem EDR-Tools (Endpoint Detection and Response) einsetzen sollten, um bekannte Aktivitäten zu erkennen. Unternehmen sollten nach Kennungen wie „BTC“ und „XMR“ suchen, die sich jeweils auf Bitcoin und Monero beziehen, einschließlich Datei
snamen und Befehlszeilen, sagt er. Zwar ist das EDR-System von kein Allheilmittel gegen jede Bedrohung, die ein Netzwerk befällt, doch in einer Situation wie dieser kann es
sinnvoll eingesetzt werden.
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
Die IT-Sicherheit sollte zudem nach Rechnern Ausschau halten, die offenbar überdurchschnittlich viel CPU- oder Speicherleistung beanspruchen, sagt er. So wie DEA-Agenten auf ungewöhnlichen Energieverbrauch in Wohnhäusern achten, um illegale Drogenlabore aufzuspüren, können IT-Teams Probleme bei der Computerleistung genau unter die Lupe nehmen, um Cryptojacking-Aktivitäten zu erkennen.
Miller erklärt, dass Unternehmen EDRs auch dazu nutzen können, nach bekannten „schädlichen Hashes“ zu suchen, die mit Cryptojacking in Verbindung stehen. Dazu gehören:
- c717c47941c150f867ce6a62ed0d2d35
- 0c0195c48b6b8582fa6f6373032118da
- 1f776e609dcf28e1170a3167c30b0c6b
„Man kann nach diesen als schädlich bekannten Hashes suchen, um unbefugte Aktivitäten in Ihrer Umgebung zu erkennen“, sagt er. „Sobald Sie das erledigt haben“, sagt er, „ist es in den meisten Fällen recht einfach, die ‚
‘-Coin-Miner zu entfernen.“
Einsatz von Threat Hunting zur Aufdeckung von Cryptojacking
Miller warnt davor, dass es wichtig ist, nach der Beseitigung einer potenziellen Bedrohung durch das Schürfen von Kryptowährungen eine forensische Untersuchung durchzuführen, um festzustellen, wie Hacker das System kompromittiert haben. Auch wenn das unmittelbare Problem behoben wurde, besteht die Sicherheitslücke weiterhin.
Er weist darauf hin, dass ein Angriff in manchen Fällen möglicherweise nicht von außen gekommen sei. Es könnte sich um einen Insider gehandelt haben – „“, der sich Unternehmensressourcen „“ zunutze machte, um nebenbei ein wenig Geld zu verdienen. Experten wie Taylor empfehlen , die Mitarbeiter über die Risiken und Gefahren für ihre Arbeitsplätze aufzuklären, die entstehen, wenn sie zulassen, dass die IT-Ressourcen des Unternehmens in schädlicher Weise genutzt werden.
[Lesen Sie auch: Warum Mitarbeiter gegen Cybersicherheitsrichtlinien verstoßen]
Miller rät forensischen Ermittlern, ähnlich wie und Bedrohungsjäger vorzugehen und dabei eine Vielzahl von Einflussfaktoren zu berücksichtigen, wie zum Beispiel:
- IDs. War der Hackerangriff auf kompromittierte Zugangsdaten zurückzuführen?
- Strategie. Haben Hacker sich durch Phishing, Social Engineering oder durch Nachlässigkeit bzw. böswilliges Handeln von Mitarbeitern Zugang zu Zugangsdaten verschafft?
- Zeitpunkt. Wann hat die Veranstaltung begonnen?
- Häufigkeit. Handelte es sich um einen Einzelfall oder kam es zu wiederholten Hackerangriffen?
- Zukünftiges Risiko. Hat dieses Ereignis den Weg für andere Bedrohungen geebnet, die möglicherweise größere finanzielle und operative Schäden verursachen könnten?
Experten zufolge wird das Kryptojacking so schnell nicht verschwinden. Tatsächlich rechnen sie mit einer Zunahme sowohl der Häufigkeit als auch des Schweregrads.
„Ganz gleich, welche Abwehrmaßnahmen Sie ergreifen, um Angriffe abzuwehren – Krypto-Jacker scheinen letztendlich immer einen Weg zu finden, diese zu umgehen“, sagt Taylor. „Es wird immer neue, kreative Wege geben, Sicherheitsprotokolle zu umgehen. „Sie müssen sich ständig anpassen, um Hacker in Schach zu halten.“
