מה זה Cryptojacking?
Cryptojacking הוא סוג של מתקפת סייבר שבה תוקף מנצל מחשבים, שרתים, מכשירי קצה או תשתיות ענן של אחרים,
בלי ידיעתם, כדי לכרות מטבעות קריפטוגרפיים.
במקום להשקיע בחומרה וחשמל, התוקף רוכב על המשאבים של הקורבן: CPU, GPU, זיכרון וחשמל.
התוצאה:
ירידת ביצועים
התחממות ציוד
חשבונות ענן מנופחים
פגיעה בזמינות שירותים
ובמקרים מסוימים דלת כניסה למתקפות חמורות יותר
איך Cryptojacking עובד בפועל?
ברוב המקרים, קוד כרייה זדוני מוחדר לאחד מהבאים:
דפדפן (JavaScript)
מערכת הפעלה (Agent / Malware)
קונטיינר (Docker / Kubernetes)
סביבת ענן עם הרשאות חלשות
ברגע שהקוד פעיל הוא מתחיל לכרות מטבע (לרוב Monero, בגלל האנונימיות והיעילות ב-CPU) ושולח את הרווחים לארנק של התוקף.
סוגים נפוצים של Cryptojacking
Cryptojacking מבוסס דפדפן (Browser-based)
קוד JavaScript נטען בעת גלישה לאתר נגוע
אינו שורד ריסטארט
קשה לזיהוי למשתמשים לא טכניים
נפוץ באתרים פרוצים, פרסומות זדוניות (Malvertising)
היסטורית, פלטפורמות כמו Coinhive סללו את הדרך גם אם לא תמיד בזדון.
Cryptojacking מבוסס Malware
תוכנה זדונית מותקנת על המחשב או השרת
רצה ברקע לאורך זמן
כוללת מנגנוני התמדה (Persistence)
נפוצה בארגונים ושרתים ישנים
Cryptojacking בענן (Cloud Cryptojacking)
פריצה לחשבון AWS / Azure / GCP
שימוש במשאבי מחשוב יקרים (GPU, Instances גדולים)
נזק כספי מהיר וגבוה
לעיתים מתגלה רק בחשבונית החודשית
זהו כיום הווקטור הצומח ביותר.
Cryptojacking בקונטיינרים (Docker / Kubernetes)
ניצול קונפיגורציות פתוחות
Deployment של Mining Pods
הסוואה כ־Workload לגיטימי
נפוץ מאוד ב-DevOps לא מאובטחים
Cryptojacking כחלק מ-Supply Chain Attack
קוד כרייה מוזרק לספריות Open Source
או ל־CI/CD Pipelines
פוגע במאות/אלפי ארגונים בו־זמנית
סטטיסטיקות ונתונים מהעולם
מעל 40% ממתקפות הסייבר על תשתיות ענן כוללות רכיב של Cryptojacking
זמן ממוצע לזיהוי Cryptojacking בענן: כ־23 ימים
ארגונים שנפגעו מדווחים על עלייה של 300%-900% בעלויות ענן
Cryptojacking עקף Ransomware במספר האירועים הכולל במספר דוחות שנתיים
חברות כמו Kaspersky ו־Cisco מציינות שמדובר ב-“Low Risk, High Reward” עבור תוקפים ולכן הוא ממשיך לגדול.
למה Cryptojacking מסוכן גם אם רק כורים?
כי בפועל:
הוא מעיד על פרצה קיימת
משמש לעיתים שלב ראשון לפני מתקפה חמורה יותר
פוגע ב-SLA, ביצועים ואמינות
גורם לנזק כספי מתמשך ושקט
שוחק חומרה לאורך זמן
שירותי קורל טכנולוגיות בתחום Cryptojacking
זיהוי וחקירה
Threat Hunting ממוקד Cryptojacking
ניתוח עומסים חריגים (CPU / GPU / Billing)
Forensics לקונטיינרים וענן
מניעה והקשחה
Hardening לענן, Kubernetes ו־Docker
IAM Least Privilege
הגדרת Alerts חכמים לחריגות כרייה
ניטור מתמשך
חיבור SIEM / SOAR
Behavioral Analytics
זיהוי Mining Pools ו־Stratum Traffic
טיפול בנזק
עצירת פעילות זדונית
ניקוי תשתיות
הפקת Lessons Learned
בניית Playbooks למניעה עתידית
שאלות ותשובות בנושא Cryptojacking
למה תוקפים מעדיפים Monero?
בגלל אנונימיות גבוהה, כרייה ב-CPU, וקושי במעקב אחרי הארנק.
האם Antivirus רגיל מספיק?
רוב לא. Cryptojacking מודרני מתחמק מחתימות קלאסיות.
איך מזהים Cryptojacking בענן?
שילוב של Billing Anomalies + Telemetry + Runtime Security.
האם מדובר באירוע אבטחה או אירוע IT?
חד־משמעית אירוע אבטחה, עם השלכות IT ועסקיות.
איך תוקפים מסתירים כרייה?
Throttling חכם, עבודה בשעות שפל, הסוואה כ־Service לגיטימי.
מראי מקום
דוחות Threat Landscape של Kaspersky
Cisco Talos – Cloud Threat Reports
MITRE ATT&CK – Resource Hijacking (T1496)
OWASP Top 10 for Cloud Native
מחקרי AWS & Azure על Billing Anomalies
