Może obejmować złośliwe oprogramowanie, kod dostarczony przez przeglądarkę, skompromitowane serwery lub kontenery, skradzione poświadczenia chmurowe albo nadużytą automatyzację. Definiującą kwestią jest brak autoryzacji: kopanie kryptowaluty wykonywane świadomie na własnych lub prawidłowo wynajętych zasobach nie jest cryptojackingiem.
Nieautoryzowane obciążenie konsumuje procesor, grafikę, pamięć, energię, limity lub płatną moc chmury i może degradować inne usługi. Trwałe kampanie mogą tworzyć lub zmieniać obciążenia i konta, a kopanie w przeglądarce może ustawać po zamknięciu strony. Część intruzji zawiera też kradzież poświadczeń, utrwalenie lub funkcje proxy poza samym kopaniem.
Najważniejsze punkty
Możliwe sygnałyNieoczekiwane, utrzymujące się użycie zasobów, nowe instancje obliczeniowe lub kontenery, zmienione harmonogramy, nieznane procesy górnicze, połączenia z infrastrukturą kopania, problemy termiczne lub niewyjaśnione opłaty chmurowe uzasadniają dochodzenie.
Przegląd chmury i usługZbadaj zdarzenia tożsamości, interfejsy zarządcze, potoki wdrożeniowe, obrazy, regiony, limity, zmiany w rozliczeniach oraz to, czy autoryzowany właściciel potrafi wyjaśnić obciążenie.
ReakcjaBezpiecznie zatrzymaj nieautoryzowane zużycie, zachowaj dowody, unieważnij eksponowany dostęp, usuń utrwalenie, zidentyfikuj ścieżkę wejścia, przejrzyj powiązane zasoby i potwierdź, że obciążenia biznesowe wracają do normy.
Istotne ograniczenieWysokie użycie zasobów lub połączenie z kopalnią (mining pool) nie jest dowodem kompromitacji. I odwrotnie — wydajne dławienie, infrastruktura proxy, krótko żyjące zadania lub skradzione konta chmurowe mogą czynić cryptojacking niepozornym; usunięcie samego kopacza nie potwierdza, że intruzja jest zakończona.