Může zahrnovat malware, kód doručený prohlížečem, kompromitované servery či kontejnery, ukradené cloudové přihlašovací údaje nebo zneužitou automatizaci. Definičním problémem je absence autorizace: těžba kryptoměny prováděná vědomě na vlastněných nebo řádně kontraktovaných zdrojích není cryptojacking.
Neoprávněná úloha spotřebovává kapacitu procesoru, grafiky, paměti, elektřiny, kvóty nebo placené cloudové kapacity a může degradovat jiné služby. Persistentní kampaně mohou vytvářet či měnit úlohy a účty, zatímco těžba v prohlížeči může skončit zavřením stránky. Některá vniknutí obsahují i krádež přihlašovacích údajů, perzistenci nebo proxy schopnosti nad rámec těžby.
Klíčové body
Možné signályNeočekávané trvalé využití zdrojů, nové výpočetní instance či kontejnery, změněné plány, neznámé těžební procesy, spojení na těžební infrastrukturu, tepelné problémy nebo nevysvětlené cloudové poplatky si zaslouží vyšetření.
Revize cloudu a služebZkoumejte události identit, správní rozhraní, deployment pipeline, image, regiony, kvóty, změny vyúčtování a zda autorizovaný vlastník dokáže úlohu vysvětlit.
ReakceBezpečně zastavte neoprávněnou spotřebu, zachovejte důkazy, odvolejte exponovaný přístup, odstraňte perzistenci, identifikujte vstupní cestu, přezkoumejte související prostředky a potvrďte, že obchodní úlohy se obnovují normálně.
Důležité omezeníVysoké využití zdrojů nebo spojení na těžební pool není důkazem kompromitace. Naopak efektivní throttling, proxy infrastruktura, krátkodobé úlohy nebo ukradené cloudové účty mohou cryptojacking učinit nenápadným; odstranění těžebního programu samo o sobě nezakládá, že je vniknutí vyřešeno.