Kryptowährungs-Miner mit „Kill List“

Seit Anfang 2018 hat sich die Cyber-Krimininalität ganz offensichtlich von Ransomware verstärkt auf die Verteilung von Coinminern verlagert. „Die meisten der derzeitigen Cyber-Bedrohungen konzentrieren sich auf Interaktionen mit den Daten eines Opfers. So werden entweder Daten und Anmeldeinformationen gestohlen, oder die Dateien der Betroffenen verschlüsselt. Kryptomining-Malware funktioniert anders und wurde entwickelt, um eine andere Art von Ressource zu missbrauchen: die physische“, erklärt Marta Janus, Senior Threat Researcher bei Cylance.

Das Mining von Kryptowährungen verbraucht enorme Rechnerleistungen. Damit sich das Ganze für Cyber-Kriminelle auch tatsächlich lohnt müssen sie so viel CPU-Leistung wie nur irgend möglich nutzen. Gerade in jüngster Zeit konnten wir vermehrt Mining-Trojaner beobachten. Deshalb ist es für mich nicht überraschend, dass ein Angreifer mögliche Rivalen aus dem Feld schlagen will. Neben dem Ausschalten bekannter Malware könnten die Angreifer allerdings auch versuchen, Sicherheitslösungen abzuschalten. Glücklicherweise verfügen die meisten der aktuellen Anti-Malware Software-Lösungen über einen Selbstschutzmechanismus. Dieser verhindert, dass Sicherheitsprozesse über ein simples PowerShell-Kommando angehalten und entfernt werden können.

Obwohl Krypto-Miner für vertrauliche Daten weniger ein Risiko sind, bringen sie doch eine ganze Reihe anderer Probleme mit sich. Zum Beispiel verlangsamen sich die Rechnerprozesse oder komplette Workflows werden abgebrochen oder unterbrochen. Daher ist es immens wichtig, die Infektion zu beseitigen, sobald man von ihr weiß. Miner sind üblicherweise leicht zu identifizieren, denn die ihnen zugrunde liegenden Prozesse verbrauchen normalerweise am meisten Leistung, wenn ein Computer im Ruhemodus ist. Manchmal reicht es nicht aus einen Prozess zu beenden und den ausführbaren Code zu entfernen, um das Wiederauftauchen der Malware zu verhindern. In solchen Fällen ist es das Beste die infizierte Maschine neu abzubilden oder den Status vor der Infektion wiederherzustellen.

Eine der jüngsten Errungenschaften bei dieser Art von Malware sind JavaScript Miner. Sie werden nicht auf dem Rechner selbst installiert, sondern arbeiten über den betreffenden Browser während der Benutzer eine infizierte Webseite besucht. Es ist also nach wie vor keine schlechte Idee, JavaScript standardmäßig zu deaktivieren und nur für definitiv vertrauenswürdige Seiten zuzulassen. Dazu gibt es eine Vielzahl von Tools, die die CPU-Auslastung überwachen und so helfen potenzielle Miner-Infektionen aufzudecken. (rhh)

Hier geht es zu Cylance