- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Krypto-Jacking im Unternehmen


Wie man illegales Mining von Krypto-Währungen im Unternehmen erkennt und verhindert
So erkennt man, dass im Unternehmen unerlaubtes Crypto-Mining stattfindet

- Anzeigen -





Von Egon Kando, Exabeam

Krypto-Währungen haben sich von einem Phänomen hin zu einer nicht nur von Kriminellen gehandelten Ressource entwickelt. Für das Mining wird weltweit bereits die Mehrheit aller Rechenleistung aufgewendet. Und da die Währungen einen monetären Wert bieten, werden sie nicht nur legal durch Crypto-Mining, sondern auch illegal durch Crypto-Jacking errechnet. Unternehmen können sowohl von außen als auch von innen Ziel von illegalem Crypto-Jacking werden. Mit diesen Tipps können Unternehmen erkennen, ob ihre Infrastruktur illegal zum Mining von Krypto-Währungen genutzt wird.

Die Hälfte aller Infrastrukturen weltweit werden für Crypto-Mining genutzt
Krypto-Währungen, wie Bitcoin und Monero, werden durch den Einsatz von Rechenleistung zur Lösung komplexer mathematischer Probleme erzeugt. Wenn ein Problem gelöst ist, wird eine neue Währungseinheit erstellt. Der Prozess wird als Mining bezeichnet und die in den Umlauf gebrachten Einheiten der Krypto-Währungen werden weltweit gehandelt. Eher im Verborgenen bleiben die Hunderttausende auf den Abbau von Krypto-Währungen im großen Umfang spezialisierten Computer und Server. Diese sind an Orten auf der ganzen Welt verteilt, in der Regel dort, wo die Energie entweder kostengünstig oder kostenlos ist, wie etwa in Island.

Ebenfalls im Verborgenen ist die Größe der weltweit bereits für Krypto-Mining eingesetzten Infrastruktur. Tatsächlich stellt das Bitcoin-Mining schon heute die Mehrheit des gesamten weltweiten Netzwerks dar. Für das professionelle Krypto-Mining im großen Stil werden sehr leistungsstarke Rechner mit hohem Strombedarf genutzt, beispielsweise ASIC-Miner. Mit riesigen Rechenzentren, bestückt mit solch hochgezüchteten Mining-Rechnern, lassen sich große Erträge erzielen. Der Hersteller für Bitcoin-Mining-Hardware Bitmain betreibt selbst einen der weltweit größten Mining-Parks und fuhr damit im vergangenen Jahr einen Gewinn zwischen drei und vier Milliarden US-Dollar ein. Das Krypto-Mining kann sich jedoch auch in kleinerem Umfang lohnen. Mit der richtigen Software kann praktisch jeder schon mit einem einzigen Laptop Krypto-Währungen schürfen.

So wird aus Krypto-Mining Krypto-Jacking oder Shadow-Mining
Eine der größten Herausforderungen im Zusammenhang mit dem Crypto-Mining ist die enorme Energiemenge, die es verbraucht. Experten schätzen, dass der aktuelle globale Stromverbrauch für die Server, auf denen Bitcoin-Software läuft, mindestens 2,55 Gigawatt beträgt, was einem Stromverbrauch von 22 Terawattstunden (TWh) pro Jahr entspricht – das entspricht dem jährlichen Stromverbrauch von Irland.

Infolge des massiven Energieverbrauchs von Mining-Rechnern suchen Kriminelle nach Möglichkeiten, Krypto-Währungen abzubauen, ohne selbst die Kosten dafür tragen zu müssen. Und wenn Krypto-Mining illegal und ohne Genehmigung durchgeführt wird, wird es zum Verbrechen, das sogenannte Krypto-Jacking. Krypto-Jacking ist zu einem ernsthaften globalen Problem geworden, das prinzipiell jede Organisation treffen kann. Eine Organisation, die von Krypto-Jacking betroffen ist, bleibt nicht nur auf den Stromkosten sitzen, sondern muss auch für IT-Ausfallzeiten, Hardware-Ausfall und Produktivitätsverluste aufkommen. Dabei kann die Gefahr sowohl von Innen als auch von außen kommen.

Crypto-Jacking ist eine externe Bedrohung, die auftritt, wenn ein Hacker eine Nutzerkontokompromittiert, um heimlich Krypto-Währungen über die IT-Ressourcen einer Organisation zu "minen". Shadow Mining - eine Form der Shadow IT - tritt auf, wenn ein böswilliger Insider die Computerressourcen seiner Organisation gefährdet, um illegal Krypto-Währungen rechnen zu lassen. Innerhalb eines Unternehmens werden generell vier mögliche Gefahrenquellen für Crypto-Jacking unterschieden.

Shadow-Mining
Um erfolgreich zu sein und unentdeckt zu bleiben, ist Shadow Mining darauf angewiesen, dass Sicherheitssysteme bewusst so konfiguriert werden, dass sie fehlerhaft funktionieren. Dies macht ein Unternehmen weniger sicher, führt Software ein, die zusätzliche Ressourcen verbraucht, erhöht die Angriffsfläche und macht betroffene Computer weniger zuverlässig. Man unterscheidet zwischen dem bösartigen und dem rationalisierenden Insider:

Der bösartige Insider - Dies kann jemand sein, der Zugang zu sehr leistungsfähigen Computersystemen hat und sich am Abend anmeldet, um Krypto-Währungen zu schürfen.

Der rationalisierende Insider - Hier lädt ein Einzelner kleine, krypto-unterstützte Software herunter, die er im Leerlauf seines Rechners ausführt. Dieser Miner rationalisiert, dass es in Ordnung ist, seinen Rechner zu benutzen, um Geld zu generieren, wenn er nicht in Gebrauch ist.

Crypto-Jacking
Beim Crypto-Jacking kommt die Gefahr von Aussen. Entweder direkt von einem böswilligen Außenstehenden, oder indirekt über einen von Aussen kompromittierten Insider:

Der kompromittierte Insider - Dies kann auftreten, wenn jemand unwissentlich zum Opfer von Kyberangriffen wie Phishing, Clickbait oder Drive-by wird. Oder ein Mitarbeiter lädt versehentlich kostenlose Software herunter, die unentdeckt Krypto-Mining am Backend durchführt. Auch gibt es Video-Streaming-Websites und File-Sharing-Netzwerke, die Computer von Benutzern aus der Ferne steuern und für Crypto-Mining missbrauchen können.

Der böswillig Außenstehende - Ähnlich wie bei einem DDoS-Angriff, bei dem eine Server- oder Dienstschwachstelle genutzt wird, kann ein Hacker eine gesamte Infrastruktur kapern, um einen Krypto-Mining-Betrieb zu entwickeln. Da nicht viel Datenverkehr erzeugt wird und von Servern in Rechenzentren eine relativ hohe Belastung erwartet wird, können diese Aktionen über einen längeren Zeitraum unbemerkt bleiben.

So erkennt man, dass im Unternehmen unerlaubtes Crypto-Mining stattfindet
Man weiß, dass Krypto-Mining eine enorme Energiemenge verbrauchen kann. Krypto-Jacking anhand des Stromverbrauchs zu erkennen, kann jedoch schwierig sein, weil der Stromverbrauch von vielen Variablen abhängt. Nicht alle Computer verbrauchen die gleiche Menge an Strom, abhängig von der Anzahl der CPUs und davon, ob sie GPUs verwenden. Es hängt auch davon ab, wie oft und intensiv sie genutzt werden. Rechnet man die Kühlkosten hinzu, ist es eine komplizierte Gleichung. Das Beste, was Unternehmen tun können, ist, nach Anomalien in ihren Rechnungen zu suchen, und wenn diese bemerkt werden, nach verdächtigen Aktivitäten zu suchen.

Besser als der Stromverbrauch eignen sich Abweichungen des Nutzungsmusters, da Krypto-Mining signifikant von der normalen Nutzung eines Rechners oder Servers abweicht. Man muss also nach einer plötzlichen Änderung der Kapazität oder Nutzung sowie nach einer anormalen ausführbaren Datei suchen. Oder nach dem plötzlich nächtlichen Auftreten einer seltsamen ausführbaren Datei in einer Umgebung, die normalerweise nur EXCHANGE.EXE oder NTDS.EXE ausführt. Oder einen Rechner, der normalerweise nur tagsüber in Betrieb ist, aber plötzlich rund um die Uhr läuft.

Geheimwaffe gegen Krypto-Jacking: Entity Analytics
In einer Produktionsumgebung gibt es bestimmte Benchmarks, die die IT durchführt, um sicherzustellen, dass der ordnungsgemäße Service aufrechterhalten wird. Abweichungen von diesen Benchmarks können ein Indikator für Missbrauch sein. Die komplette Infrastruktur jedoch manuell nach Abweichungen zu durchforsten ist natürlich zu kompliziert, mühsam und zeitaufwändig, nicht nur bei sehr großen und komplexen Infrastrukturen.

Eine einfachere Möglichkeit, solche unregelmäßigen Verhaltensweisen zu erkennen, besteht darin, das normale Verhalten jedes einzelnen Hosts anhand von laufenden Prozessen, Verbindungen nach Außen und genutzter Kapazität und Auslastung zu modellieren. Moderne Sicherheitslösungen, die die relativ neue Technologie Entity Analytics nutzen, sind hierbei besonders wirksam. Sie können die Erkennung von auffälligen Verhalten von Rechnern automatisieren und Alarm schlagen, wenn ein Server plötzlich von seinem bisherigen Verhalten abweicht.

Fazit
Unternehmen, die sich effektiv vor Krypto-Jacking schützen wollen, müssen verstehen, von wem grundlegend Gefahren ausgehen können. Um Krypto-Jacking effektiv verhindern zu können, hilft die Nutzung moderner Sicherheitslösungen, die Entity Analytics nutzen, um Rechner und Server zu entlarven, die zum illegalen Mining benutzt werden. (Exabeam: ra)

eingetragen: 07.05.19
Newsletterlauf: 29.05.19

Exabeam: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Der primäre Anwendungsfall unserer Zeit

    Es scheint ein Widerspruch zu sein: Obwohl die meisten Unternehmen viele ihrer Anwendungen in die Cloud migrieren, erfreut sich das klassische Rechenzentrum nach wie vor großer Beliebtheit. Seit nun mehr als einem Jahrzehnt virtualisieren Unternehmen ihre Rechenzentren und führen Cloud-Technologien ein. Und sagten einige Experten vor gut zehn Jahren voraus, dass das Rechenzentrum der Zukunft vollständig in der Cloud betrieben würde, sehen wir heute, dass dies nicht eingetreten ist. Stattdessen führten Unternehmen Hybrid- und Multi-Cloud-Umgebungen ein, die ihnen die Wahl geben, ihren Anwendungen und Daten das ideale Zuhause zu geben.

  • Modulare Malware: Bösartige Multitalente

    Modulare Malware bietet Cyberkriminellen eine Architektur, die robuster, flexibler und gefährlicher ist als klassische dokumentenbasierte oder webbasierte Malware. Denn die Schadware beinhaltet verschiedene Nutzlasten und Funktionen und kann diese selektiv starten, je nach Ziel und Funktion des Angriffs. Mit dem Aufkommen von Botnetzen, die Befehle von Cyberkriminellen ausführen, und Malware, die für eine umfangreiche Verbreitung geschrieben wurde, ist Modularität zur neuen Norm geworden. Malware-Autoren organisieren sich zunehmend professionell und übernehmen und implementieren Praktiken der Softwareindustrie, einschließlich Qualitätssicherung und Tests, um den Erfolg von Angriffen zu optimieren. Als Reaktion auf die Anforderung, mehrere Fähigkeiten mit einer Malware-Datei zu erfüllen, hat sich modulare Malware zu einer funktionsreichen und flexiblen Angriffslösung für Cyberkriminelle entwickelt.

  • KI-Anwendungen missbraucht

    Malwarebytes veröffentlichte ihren Hintergrundbericht zum Einsatz Künstlicher Intelligenz (KI) innerhalb der Malware-Branche. In diesem Bericht wirft Malwarebytes dabei einen Blick zurück auf die Anfänge von KI, gibt einen Einblick in die Vorteile von KI und Machine Learning innerhalb der Cybersicherheitsbranche, definiert Einsatzgebiete mit Beispielen von KI bei Malware-Angriffen und gibt einen Ausblick, wozu bösartige Angriffe auf KI-Basis in Zukunft im Stande sind. Der komplette (englischsprachige) Hintergrundbericht ist unter diesem Link verfügbar. Als Gesellschaft nutzen wir künstliche Intelligenz bereits in einer Vielzahl von Branchen: Spracherkennung, Wortvervollständigung, Biometrie, maschinelle Lernplattformen. KI ist über den Hype hinaus und wir werden bald feststellen, dass sie mittlerweile weit verbreitet ist. Malwarebytes geht davon aus, dass es einen entscheidenden Zeitraum in der Entwicklung der künstlichen Intelligenz gibt, in dem diejenigen, die diese relativ neue Technologie in die Welt bringen, die Wahl haben, sie verantwortungsbewusst zu nutzen oder ihre Entwicklung einfach um jeden Preis zu beschleunigen. Es ist jetzt an der Zeit, darüber nachdenken, bevor es Cyberkriminelle tun werden.

  • ML: Die geknüpften Erwartungen sind hoch

    Die an Maschinelles Lernen (ML) geknüpften Erwartungen sind hoch, und das mit gutem Grund. Algorithmen, die auf maschinellem Lernen basieren, erlauben es uns beispielsweise enorme Mengen von Sicherheitsvorkommnissen auf Anomalien hin zu sichten. Also Abweichungen von einem als normal definierten Verhalten zu erkennen, die häufig Anzeichen für böswillige Aktivitäten sind. Die Ergebnisse dieses Sichtungsprozesses werden an einen Analysten übermittelt, der sie durchsieht und gründlich überprüft. Anschließend wird das System mit den Ergebnissen gefüttert um es weiter zu trainieren. Mit mehr und mehr in das System eingespeisten Daten entwickelt es sich sukzessive weiter: Es lernt ähnliche Sicherheitsvorkommnisse zu erkennen und letztendlich deren zugrunde liegende Charakteristika eines böswilligen Verhaltens.

  • Angriffsforensik: Post Mortem von Cyberattacken

    Wenn Cyberangriffe die Sicherheit von Endgeräten umgehen, kann es oft Monate dauern, bis Unternehmen die Schwachstelle entdecken. Unternehmen suchen deshalb nach Möglichkeiten, ihre Endgerätesicherheit zu modernisieren und ihre Fähigkeit zu verbessern, Bedrohungen schneller zu erkennen und in komplexen Infrastrukturen effektiver darauf zu reagieren. Um genutzte Sicherheitslücken und blinde Flecken im System zu erkennen, müssen sich Securityteams der Angriffsforensik bedienen, um genau herauszufinden, wie es zu Sicherheitsvorfällen kommen konnte. Sie ist ein Element zur Verbesserung der Endpoint Detection and Response (EDR). Weiß man dank der Angriffsforensik genau, wo die Sicherheitslücken sind und wie sie von Kriminellen ausgenutzt wurden, können Unternehmen Business Continuity besser gewährleisten, Malware schneller erkennen und Sicherheitslücken zukünftig schließen.