Kryptojacking – Goldgräberstimmung bei Cyberkriminellen oder veraltetes Angriffsszenario?

Mit großen Opfern wie Tesla, Avira und Gemalto tauchte Kryptojacking bereits 2018 in den Medien auf. Durch steigende Kurswerte der großen Kryptowährungen hatte das heimliche Schürfen großes Potential, IT-Infrastrukturen zu beeinträchtigen, und bei Cyberkriminellen herrschte eine Zeit lang Goldgräberstimmung. Krypto-Mining ist sozusagen das Verfahren, bei dem Transaktionen von Kryptowährungen auf das Blockchain-Kontobuch eingefügt werden. Durch bessere Rechentechniken und hochleistungsfähige Server, verbunden mit den rapiden Kursanstiegen der Währungen, kam auch Kryptojacking auf den Plan. Darunter versteht man unerlaubtes Krypto-Mining durch Cyberkriminelle.

Lukrativität sinkt nach Coinhive Shutdown

Coinhive war ein Anbieter von Java-Skripten, welche auf Webseiten eingebaut werden konnten und durch die Rechenleistung der Nutzenden Kryptowährungen geschürft haben. Hauptwährung dieser Skripte war eine Zeit lang die Kryptowährung Monero, bei dieser behielt Coinhive 30,00% der Erträge. Im März 2019 stellte Coinhive den Service ein, da die Währung Monero sehr stark an Wert verlor. Aufgrund der hohen Popularität von Coinhive stellt sich die Frage, wie populär Kryptojacking somit noch ist. Forscher der Universität Cincinnati und der Lakehead Universität in Ontario, Canada haben ein Paper veröffentlicht, welches dieser Frage nachgeht.

Mit einem Tool namens CMTracker haben die Forscher rund 3000 Webseiten überprüft, welche vorher als Krypto-Mining-Seiten aufgefallen sind. Von diesen 3000 Webseiten haben rund 99,00% das Schürfen aufgegeben. Somit lässt sich am Beispiel Coinhive zeigen, dass die Attraktivität von Kryptojacking massiv gesunken ist. Dies liegt nicht zuletzt daran, dass das Schalten von Werbung auf Webseiten durch die hohen Wertverluste einiger Kryptowährungen für Webseitenbetreiber mehr finanzielle Anreize bietet als Krypto-Mining.¹

Das angesprochene Paper analysierte allerdings kein serverseitiges Kryptojacking. Einer der größten Fälle war in diesem Zusammenhang Tesla. Der Automobilhersteller bemerkte Anfang 2018 kompromittierte Cloudserver. Da diese Angriffe nach wie vor vor allem bei großen Serverstrukturen von Unternehmen einen nicht unerheblichen finanziellen Mehrwert für Cyberkriminelle bieten und mit geringen Aufwänden verbunden sind, sind Unternehmen nach wie vor betroffen und sollten Kryptojacking nicht aus den Augen verlieren.

Schutz vor Kryptojacking im Unternehmen

Da der Code oftmals nicht durch gängige Sicherheitssoftware erkannt wird, sollten vor allem IT-Sicherheitsverantwortliche folgende Punkte im Blick behalten:

• Unerklärlicher Leistungsverlust: Das deutlichste Anzeichen für Kryptojacking ist ein unerklärlicher Leistungsverlust. Mitarbeitende sollten angewiesen werden, Performanceverluste unbedingt der IT-Abteilung zu melden. 

• Überhitzung: Kryptojacking ist ein sehr ressourcenintensiver Prozess und kann mit dem Überhitzen von Systemen einhergehen. 

• CPU-Auslastung: Durch einfache Aktivitätsmonitore können selbst unerfahrene Nutzende zu hohe CPU-Auslastungen ohne ersichtlichen Grund melden und überwachen.

• Überwachung der Firmenwebseite: Auch die eigene Webseite sollte regelmäßig auf Änderungen geprüft werden, auch wenn Angriffe auf Webseiten aus oben genannten Gründen an Attraktivität bei Cyberkriminellen verloren haben.

• Sensibilisierung: Cyberkriminelle modifizieren unabhängig vom Kryptojacking ständig Angriffsmethoden und genaue Szenarien. Die Aktualität von Schulungen und die allgemeine Sensibilisierung von Cybersicherheitsthemen ist für ein Unternehmen unabdingbar.

Kryptojacking in 2020

Auch wenn Kryptojacking, vor allem Client-basiert, aufgrund der aktuell niedrigen Kurse an Attraktivität verloren hat, sind Angriffe auf Unternehmen aufgrund der Einfachheit immer noch aktuell. Weiterhin kann sich die Lage jederzeit bei Kursanstieg des Kryptomarkts weiter verschärfen. Unternehmen sollten somit unbedingt die oben genannten Punkte beachten.

^{_{¹Is Cryptojacking Dead after Coinhive Shutdown? in: Arxiv, [online] https://arxiv.org/pdf/2001.02975.pdf [25.05.2020].}}