- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Krypto-Jacking im Unternehmen


Wie man illegales Mining von Krypto-Währungen im Unternehmen erkennt und verhindert
So erkennt man, dass im Unternehmen unerlaubtes Crypto-Mining stattfindet



Von Egon Kando, Exabeam

Krypto-Währungen haben sich von einem Phänomen hin zu einer nicht nur von Kriminellen gehandelten Ressource entwickelt. Für das Mining wird weltweit bereits die Mehrheit aller Rechenleistung aufgewendet. Und da die Währungen einen monetären Wert bieten, werden sie nicht nur legal durch Crypto-Mining, sondern auch illegal durch Crypto-Jacking errechnet. Unternehmen können sowohl von außen als auch von innen Ziel von illegalem Crypto-Jacking werden. Mit diesen Tipps können Unternehmen erkennen, ob ihre Infrastruktur illegal zum Mining von Krypto-Währungen genutzt wird.

Die Hälfte aller Infrastrukturen weltweit werden für Crypto-Mining genutzt
Krypto-Währungen, wie Bitcoin und Monero, werden durch den Einsatz von Rechenleistung zur Lösung komplexer mathematischer Probleme erzeugt. Wenn ein Problem gelöst ist, wird eine neue Währungseinheit erstellt. Der Prozess wird als Mining bezeichnet und die in den Umlauf gebrachten Einheiten der Krypto-Währungen werden weltweit gehandelt. Eher im Verborgenen bleiben die Hunderttausende auf den Abbau von Krypto-Währungen im großen Umfang spezialisierten Computer und Server. Diese sind an Orten auf der ganzen Welt verteilt, in der Regel dort, wo die Energie entweder kostengünstig oder kostenlos ist, wie etwa in Island.

Ebenfalls im Verborgenen ist die Größe der weltweit bereits für Krypto-Mining eingesetzten Infrastruktur. Tatsächlich stellt das Bitcoin-Mining schon heute die Mehrheit des gesamten weltweiten Netzwerks dar. Für das professionelle Krypto-Mining im großen Stil werden sehr leistungsstarke Rechner mit hohem Strombedarf genutzt, beispielsweise ASIC-Miner. Mit riesigen Rechenzentren, bestückt mit solch hochgezüchteten Mining-Rechnern, lassen sich große Erträge erzielen. Der Hersteller für Bitcoin-Mining-Hardware Bitmain betreibt selbst einen der weltweit größten Mining-Parks und fuhr damit im vergangenen Jahr einen Gewinn zwischen drei und vier Milliarden US-Dollar ein. Das Krypto-Mining kann sich jedoch auch in kleinerem Umfang lohnen. Mit der richtigen Software kann praktisch jeder schon mit einem einzigen Laptop Krypto-Währungen schürfen.

So wird aus Krypto-Mining Krypto-Jacking oder Shadow-Mining
Eine der größten Herausforderungen im Zusammenhang mit dem Crypto-Mining ist die enorme Energiemenge, die es verbraucht. Experten schätzen, dass der aktuelle globale Stromverbrauch für die Server, auf denen Bitcoin-Software läuft, mindestens 2,55 Gigawatt beträgt, was einem Stromverbrauch von 22 Terawattstunden (TWh) pro Jahr entspricht – das entspricht dem jährlichen Stromverbrauch von Irland.

Infolge des massiven Energieverbrauchs von Mining-Rechnern suchen Kriminelle nach Möglichkeiten, Krypto-Währungen abzubauen, ohne selbst die Kosten dafür tragen zu müssen. Und wenn Krypto-Mining illegal und ohne Genehmigung durchgeführt wird, wird es zum Verbrechen, das sogenannte Krypto-Jacking. Krypto-Jacking ist zu einem ernsthaften globalen Problem geworden, das prinzipiell jede Organisation treffen kann. Eine Organisation, die von Krypto-Jacking betroffen ist, bleibt nicht nur auf den Stromkosten sitzen, sondern muss auch für IT-Ausfallzeiten, Hardware-Ausfall und Produktivitätsverluste aufkommen. Dabei kann die Gefahr sowohl von Innen als auch von außen kommen.

Crypto-Jacking ist eine externe Bedrohung, die auftritt, wenn ein Hacker eine Nutzerkontokompromittiert, um heimlich Krypto-Währungen über die IT-Ressourcen einer Organisation zu "minen". Shadow Mining - eine Form der Shadow IT - tritt auf, wenn ein böswilliger Insider die Computerressourcen seiner Organisation gefährdet, um illegal Krypto-Währungen rechnen zu lassen. Innerhalb eines Unternehmens werden generell vier mögliche Gefahrenquellen für Crypto-Jacking unterschieden.

Shadow-Mining
Um erfolgreich zu sein und unentdeckt zu bleiben, ist Shadow Mining darauf angewiesen, dass Sicherheitssysteme bewusst so konfiguriert werden, dass sie fehlerhaft funktionieren. Dies macht ein Unternehmen weniger sicher, führt Software ein, die zusätzliche Ressourcen verbraucht, erhöht die Angriffsfläche und macht betroffene Computer weniger zuverlässig. Man unterscheidet zwischen dem bösartigen und dem rationalisierenden Insider:

Der bösartige Insider - Dies kann jemand sein, der Zugang zu sehr leistungsfähigen Computersystemen hat und sich am Abend anmeldet, um Krypto-Währungen zu schürfen.

Der rationalisierende Insider - Hier lädt ein Einzelner kleine, krypto-unterstützte Software herunter, die er im Leerlauf seines Rechners ausführt. Dieser Miner rationalisiert, dass es in Ordnung ist, seinen Rechner zu benutzen, um Geld zu generieren, wenn er nicht in Gebrauch ist.

Crypto-Jacking
Beim Crypto-Jacking kommt die Gefahr von Aussen. Entweder direkt von einem böswilligen Außenstehenden, oder indirekt über einen von Aussen kompromittierten Insider:

Der kompromittierte Insider - Dies kann auftreten, wenn jemand unwissentlich zum Opfer von Kyberangriffen wie Phishing, Clickbait oder Drive-by wird. Oder ein Mitarbeiter lädt versehentlich kostenlose Software herunter, die unentdeckt Krypto-Mining am Backend durchführt. Auch gibt es Video-Streaming-Websites und File-Sharing-Netzwerke, die Computer von Benutzern aus der Ferne steuern und für Crypto-Mining missbrauchen können.

Der böswillig Außenstehende - Ähnlich wie bei einem DDoS-Angriff, bei dem eine Server- oder Dienstschwachstelle genutzt wird, kann ein Hacker eine gesamte Infrastruktur kapern, um einen Krypto-Mining-Betrieb zu entwickeln. Da nicht viel Datenverkehr erzeugt wird und von Servern in Rechenzentren eine relativ hohe Belastung erwartet wird, können diese Aktionen über einen längeren Zeitraum unbemerkt bleiben.

So erkennt man, dass im Unternehmen unerlaubtes Crypto-Mining stattfindet
Man weiß, dass Krypto-Mining eine enorme Energiemenge verbrauchen kann. Krypto-Jacking anhand des Stromverbrauchs zu erkennen, kann jedoch schwierig sein, weil der Stromverbrauch von vielen Variablen abhängt. Nicht alle Computer verbrauchen die gleiche Menge an Strom, abhängig von der Anzahl der CPUs und davon, ob sie GPUs verwenden. Es hängt auch davon ab, wie oft und intensiv sie genutzt werden. Rechnet man die Kühlkosten hinzu, ist es eine komplizierte Gleichung. Das Beste, was Unternehmen tun können, ist, nach Anomalien in ihren Rechnungen zu suchen, und wenn diese bemerkt werden, nach verdächtigen Aktivitäten zu suchen.

Besser als der Stromverbrauch eignen sich Abweichungen des Nutzungsmusters, da Krypto-Mining signifikant von der normalen Nutzung eines Rechners oder Servers abweicht. Man muss also nach einer plötzlichen Änderung der Kapazität oder Nutzung sowie nach einer anormalen ausführbaren Datei suchen. Oder nach dem plötzlich nächtlichen Auftreten einer seltsamen ausführbaren Datei in einer Umgebung, die normalerweise nur EXCHANGE.EXE oder NTDS.EXE ausführt. Oder einen Rechner, der normalerweise nur tagsüber in Betrieb ist, aber plötzlich rund um die Uhr läuft.

Geheimwaffe gegen Krypto-Jacking: Entity Analytics
In einer Produktionsumgebung gibt es bestimmte Benchmarks, die die IT durchführt, um sicherzustellen, dass der ordnungsgemäße Service aufrechterhalten wird. Abweichungen von diesen Benchmarks können ein Indikator für Missbrauch sein. Die komplette Infrastruktur jedoch manuell nach Abweichungen zu durchforsten ist natürlich zu kompliziert, mühsam und zeitaufwändig, nicht nur bei sehr großen und komplexen Infrastrukturen.

Eine einfachere Möglichkeit, solche unregelmäßigen Verhaltensweisen zu erkennen, besteht darin, das normale Verhalten jedes einzelnen Hosts anhand von laufenden Prozessen, Verbindungen nach Außen und genutzter Kapazität und Auslastung zu modellieren. Moderne Sicherheitslösungen, die die relativ neue Technologie Entity Analytics nutzen, sind hierbei besonders wirksam. Sie können die Erkennung von auffälligen Verhalten von Rechnern automatisieren und Alarm schlagen, wenn ein Server plötzlich von seinem bisherigen Verhalten abweicht.

Fazit
Unternehmen, die sich effektiv vor Krypto-Jacking schützen wollen, müssen verstehen, von wem grundlegend Gefahren ausgehen können. Um Krypto-Jacking effektiv verhindern zu können, hilft die Nutzung moderner Sicherheitslösungen, die Entity Analytics nutzen, um Rechner und Server zu entlarven, die zum illegalen Mining benutzt werden. (Exabeam: ra)

eingetragen: 07.05.19
Newsletterlauf: 29.05.19

Exabeam: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Zertifikat ist allerdings nicht gleich Zertifikat

    Für Hunderte von Jahren war die Originalunterschrift so etwas wie der De-facto-Standard um unterschiedlichste Vertragsdokumente und Vereinbarungen aller Art rechtskräftig zu unterzeichnen. Vor inzwischen mehr als einem Jahrzehnt verlagerten sich immer mehr Geschäftstätigkeiten und mit ihnen die zugehörigen Prozesse ins Internet. Es hat zwar eine Weile gedauert, aber mit dem Zeitalter der digitalen Transformation beginnen handgeschriebene Unterschriften auf papierbasierten Dokumenten zunehmend zu verschwinden und digitale Signaturen werden weltweit mehr und mehr akzeptiert.

  • Datensicherheit und -kontrolle mit CASBs

    Egal ob Start-up oder Konzern: Collaboration Tools sind auch in deutschen Unternehmen überaus beliebt. Sie lassen sich besonders leicht in individuelle Workflows integrieren und sind auf verschiedenen Endgeräten nutzbar. Zu den weltweit meistgenutzten Collaboration Tools gehört derzeit Slack. Die Cloudanwendung stellt allerdings eine Herausforderung für die Datensicherheit dar, die nur mit speziellen Cloud Security-Lösungen zuverlässig bewältigt werden kann. In wenigen Jahren hat sich Slack von einer relativ unbekannten Cloud-Anwendung zu einer der beliebtesten Team Collaboration-Lösungen der Welt entwickelt. Ihr Siegeszug in den meisten Unternehmen beginnt häufig mit einem Dasein als Schatten-Anwendung, die zunächst nur von einzelnen unternehmensinternen Arbeitsgruppen genutzt wird. Von dort aus entwickelt sie sich in der Regel schnell zum beliebtesten Collaboration-Tool in der gesamten Organisation.

  • KI: Neue Spielregeln für IT-Sicherheit

    Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.

  • DDoS-Angriffe nehmen weiter Fahrt auf

    DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

  • Fluch und Segen des Darkwebs

    Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.