Cryptojacking-Apokalypse: Die vier apokalyptischen Reiter des Cryptomining

Auch wenn das Interesse an Bitcoin und anderen Cryptowährungen aufgrund starker Preisschwankungen nachgelassen hat, ist die Gefahr des Cryptojacking weiterhin groß und stellt sich oft als verborgene Bedrohung für Konzerne, klein- und mittelständische Unternehmen sowie Endverbraucher ein.

Cryptomining die am schwierigsten zu erkennende Bedrohung. Sie dringt über den Browser ein und nutzt bekannte Formen von Malware, um Ihr Gerät in einen vollzeitigen Cryptowährung-Mining-Bot, einen sogenannten Cryptojacker, zu verwandeln.

Für eine kreative Darstellung dieses Trends erlaube ich mir ein wenig Klassik und Phantasie heranzuziehen. Wenn man die Sturmwelle des Cryptojacking als Apokalypse sieht, was bei einigen Opfern der Fall ist, wären die vier apokalyptischen Reiter die vier Bedrohungen für Ihren Endpunkt oder Ihr Unternehmen.

  • Das weiße Pferd: Verbrauchte oder verschwendete Energie
  • Das rote Pferd: Verlust an Produktivität aufgrund reduzierter Ressourcen
  • Das schwarze Pferd: Der Schaden, der am System angerichtet werden kann
  • Das fahle Pferd: Auswirkungen auf die Sicherheit aufgrund der geschaffenen Schwachstellen

Im Gegensatz zur Ransomware, die entdeckt werden will (um Geld zu fordern), läuft die Cryptojacker-Operation unsichtbar im Hintergrund (während das CPU-Leistungsdiagramm oder das Gebläse des Geräts darauf hinweisen, dass etwas nicht stimmt).

Ransomware-Autoren sind in den letzten zwei Jahren zunehmend auf Cryptojacking umgestiegen, da Effektivität und ROI abnehmen, sobald die Ransomware auf öffentlichen Feeds, wie VirusTotal, landet.

Wie jedes profitable Geschäft müssen auch Cyberkriminelle laufend neue Wege finden, um ihre finanziellen Ziele zu erreichen. Zur Lösung dieses Problems wird Cryptojacking herangezogen.

Im April 2018 begann SonicWall mit der Verfolgung von Cryptojacking-Trends, vor allem die Verwendung von Coinhive in Malware. Im Lauf eines Jahres sahen wir Ebbe und Flut. In diesem Zeitraum zeichnete SonicWall fast 60 Millionen Cryptojacking-Angriffe auf, 13,1 Millionen davon im September 2018. Laut dem SonicWall Cyber Threat Report 2019, ließ dieses Volumen im Verlauf des letzten Quartals 2018 drastisch nach.

Weltweite Cryptojacking-Attacken | April – September 2018

Verlockendes Cryptomining

Cryptomining-Operationen werden immer beliebter und verbrauchen heute fast ein halbes Prozent des weltweiten Energiebedarfs. Trotz großer Preisschwankungen fallen etwa 60 % der Kosten des rechtmäßigen Bitcoin-Mining auf den Energieverbrauch. Zum Zeitpunkt der Verfassung dieses Artikels ist der Preis eines Bitcoins geringer als die Kosten für dessen legitimes Mining.

Angesichts dieser Kosten und praktisch keinem Risiko, da keine Geräte gekauft und instandgehalten werden müssen, ist es für Cyberkriminelle äußerst lukrativ, unter Verwendung fremder Ressourcen eine Cryptowährung zu generieren. Die Infektion von 10 Rechnern mit einem Cryptominer kann einen Reinertrag von $100/Tag einbringen und für den Cryptojacker gibt es nur drei Herausforderungen zu bewältigen:

  1. Auffinden von Opfern, vor allem Organisationen mit zahlreichen Geräten im gleichen Netzwerk, wie Schulen oder Universitäten.
  2. Infektion so vieler Rechner wie möglich.
  3. So lange wie möglich unentdeckt bleiben (im Gegensatz zur Ransomware, aber ähnlich wie bei herkömmlicher Malware).

Cryptojacker verwenden ähnliche Taktiken wie Malware, um an einen Endpunkt zu gelangen: Drive-by-Downloads, Phishing-Kampagnen,browserinterne Schwachstellen und Browser-Plugins, um nur einige zu nennen. Und Sie rechnen natürlich mit dem schwächsten Glied in dieser Kette — den Menschen — und machen sich hierfür Social-Engineering-Methoden zunutze.

Bin ich mit Cryptominers infiziert?

Cryptominers sind an Ihrer Prozessorleistung interessiert und Cryptojacker machen durch geschickte Tarnung ihren Profit. Wie viel Ihrer CPU-Ressourcen sie verbrauchen hängt von ihrer jeweiligen Zielsetzung ab.

Ein langsames „Absaugen“ der Energie ist für nichtsahnende Benutzer nur schwer zu erkennen. Das Stehlen einer größeren Menge bringt jedoch mehr Gewinn. In beiden Fällen wird die Leistung beeinträchtigt, doch bei einer geringeren Abnahmemenge ist die Unterscheidung zwischen einem Miner und legitimer Software sehr schwer.

Enterprise-Administratoren suchen eventuell nach unbekannten Prozessen in ihrem System und Endbenutzer im Windows-System werden mittels Sysinternals Process Explorer analysieren, welche Anwendungen ausgeführt werden. Linux- und macOS-Benutzer werden mittels System Monitor und Activity Monitor die jeweils gleichen Analysen durchführen.

Abwehr von Cryptominers

Der erste Schritt zur Abwehr von Cryptominers ist das Stoppen dieser Art von Malware am Gateway durch Firewalls oder E-Mail-Sicherheit (Perimeter-Sicherheit). Dieses sind die besten Methoden für das Ausschalten bekannter dateibasierter Bedrohungen.

Da Menschen gerne alten Code wiederverwenden, war auch das Abfangen von Cryptojackers wie Coinhive ein einfacher erster Schritt. Doch im Februar 2019 kündigte Coinhive öffentlich an, dass sein Betrieb zum 8. März eingestellt werden würde. Der Dienst begründete diese Entscheidung damit, dass der „Betrieb wirtschaftlich nicht mehr lebensfähig sei“ und der „Crash“ das Geschäft maßgeblich beeinträchtigt habe.

Trotz dieser Nachricht prognostiziert SonicWall einen Anstieg im Volumen neuer Cryptojacking-Varianten und -Techniken, um die entstandene Lücke zu füllen. Cryptojacking könnte weiterhin die beliebteste Methode für bösartige Akteure werden, da die Verborgenheit sowie die geringe und indirekte Schädigung der Opfer die Chancen für eine Entdeckung reduzieren und die gewinnbringende Lebenszeit einer erfolgreichen Attacke verlängern.

Eine unbekannte (neue oder aktualisierte) Malware kann statische Filter in der Perimeter-Sicherheit umgehen. Wenn eine Datei unbekannt ist, wird sie zur Inspektion und Analyse der Dateiart in eine Sandbox umgeleitet.

Die Multi-Engine-Sandbox von SonicWall, Capture Advanced Threat Protection (ATP) wurde entwickelt, um solche „ausweichende“ Malware zu identifizieren und zu stoppen. Die Malware kann einer Engine ausweichen, wird aber von den anderen erfasst.

Wenn bei dieser Konfiguration kein Endpunkt zur Verfügung steht (z. B. beim Roaming an einem Flughafen oder in einem Hotel), muss ein Endpoint-Security-Produkt mit Verhaltenserkennung eingesetzt werden.

Cryptominers können im Browser arbeiten oder durch eine dateilose Attacke eingeschleust werden, d. h. sie können von den kostenlosen veralteten Lösungen, die im Lieferumfang Ihres Computers enthalten sind, nicht erkannt werden.

Ein verhaltensbasiertes Antivirus-Produkt, wie SonicWall Capture Client, würde jedoch die Coinmining-Absicht des Systems erkennen und dessen Betrieb beenden. Ein Administrator kann die Malware leicht in Quarantäne setzen und löschen oder in dem Fall, dass keine Systemdateien geschädigt wurden, das System auf einen zuletzt bekannten „gesunden“ Zustand vor Ausführung der Malware zurückversetzen.

Durch eine Kombination von Perimeter-Abwehrmethoden und Verhaltensanalysen können Organisationen die neuesten Formen von Malware, unabhängig vom Trendf oder von der Absicht, bekämpfen.

Brook Chelmo on Twitter
Brook Chelmo
Sr Product Marketing Manager | SonicWall
Brook handles all product marketing responsibilities for SonicWall security services and serves as SonicWall’s ransomware tsar. Fascinated in the growth of consumer internet, Brook dabbled in grey-hat hacking in the mid to late 90’s while also working and volunteering in many non-profit organizations. After spending the better part of a decade adventuring and supporting organizations around the globe, he ventured into the evolving world of storage and security. He serves humanity by teaching security best practices, promoting and developing technology.
0 Kommentare

Dein Kommentar

Want to join the discussion?
Feel free to contribute!

Schreibe einen Kommentar