Cryptojacking erkennen: Warnsignale für heimliches Krypto-Mining am eigenen Gerät

Cryptojacking: Woran Nutzer heimliches Krypto-Mining erkennen können

Quelle: FinanceFeeds berichtet über Cryptojacking-Malware, die die Rechenleistung eines Computers ohne Zustimmung des Eigentümers zum Schürfen von Kryptowährung missbraucht. Anders als bei Ransomware erfolgt der Angriff meist unauffällig im Hintergrund, kann jedoch messbaren Hardware-Verschleiß, höhere Stromkosten und zusätzliche Cloud-Rechnungen verursachen.

Nach Angaben von SonicWall wurden 2023 weltweit 1,06 Milliarden Cryptojacking-Vorfälle registriert. Das entspricht einem Anstieg von 659 % gegenüber den 139,3 Millionen Vorfällen im Vorjahr; zugleich verlagerten Angreifer ihre Aktivitäten verstärkt von Browsern in die Cloud.

Auch kompromittierte Cloud-Instanzen werden für Mining genutzt. Im 2021 Threat Horizons Report stellte Googles Cybersecurity Action Team fest, dass 86 % einer Stichprobe von 50 kompromittierten Google-Cloud-Instanzen von unbefugten Akteuren zum Schürfen von Kryptowährung verwendet wurden.

Infobox: Cryptojacking nutzt fremde Rechenleistung heimlich zum Mining. SonicWall meldete für 2023 1,06 Milliarden Vorfälle, während Google bei 86 % einer Stichprobe von 50 kompromittierten Google-Cloud-Instanzen Mining-Aktivitäten feststellte.

Hohe CPU- und GPU-Auslastung als zentrales Warnsignal

FinanceFeeds nennt eine anhaltende Prozessorauslastung von über 50 % während Leerlaufphasen als einen der zuverlässigsten Hinweise auf Cryptojacking. Mining-Malware nutzt CPU- und GPU-Zyklen, um kryptografische Rätsel zu lösen, wodurch eine dauerhaft erhöhte Systemlast entsteht.

Unter Windows lässt sich der Task-Manager mit Strg + Umschalt + Esc öffnen. Nutzer sollten die CPU-Spalte nach Angaben des Artikels fünf bis zehn Minuten beobachten, ohne weitere Anwendungen zu starten; legitime Hintergrundprozesse halten demnach nur selten eine Auslastung über 20 % aufrecht.

Besondere Aufmerksamkeit verdienen Prozesse mit den Namen xmrig.exe oder coinminer. Der Erkennungsleitfaden von GoMining weist außerdem darauf hin, dass sich manche Mining-Skripte mit legitim klingenden Bezeichnungen wie svchost.exe oder lsass.exe tarnen.

Fortgeschrittene Malware kann den Task-Manager oder vergleichbare Überwachungsprogramme erkennen und die Mining-Aktivität pausieren, sobald diese geöffnet werden. Microsoft Process Explorer kann laut FinanceFeeds versteckte Prozesse sichtbar machen, die der Standard-Task-Manager nicht anzeigt.

Auf macOS empfiehlt der Beitrag die Kontrolle über den Aktivitätsmonitor. Dort sollte nach dem CPU-Prozentsatz sortiert werden, da Mining-Malware häufig als unbenannter oder allgemein bezeichneter Prozess erscheint, der kontinuierlich Ressourcen verbraucht.

• Anhaltende CPU-Auslastung von über 50 % während Leerlaufphasen
• Prozesse mit den Namen xmrig.exe oder coinminer
• Legitim wirkende Prozessnamen wie svchost.exe oder lsass.exe
• Ungewöhnliche Auslastung durch unbenannte oder allgemein bezeichnete Prozesse

Infobox: Eine dauerhaft hohe CPU- oder GPU-Auslastung ohne erkennbaren Grund gilt als wichtiges Warnsignal. Zur Kontrolle nennt FinanceFeeds den Windows-Task-Manager, Microsoft Process Explorer und unter macOS den Aktivitätsmonitor.

Überhitzung, Lüftergeräusche und schneller Akkuverlust

Durch die dauerhaft hohe Auslastung erzeugt Cryptojacking überschüssige Wärme. Lüfter von Laptops und Desktop-Computern, die bereits bei leichten Aufgaben mit maximaler Geschwindigkeit laufen, können laut FinanceFeeds auf unbefugte Computeraktivität hindeuten.

Bei betroffenen Laptops kann sich außerdem der Akkuverlust messbar erhöhen. Geräte, die im Standby-Modus doppelt so schnell Ladung verlieren wie normal, sollten nach Angaben aus der Untersuchung von Bitdefender überprüft werden.

Ein anhaltender Betrieb bei hohen Temperaturen kann die Wärmeleitpaste der CPU schädigen und die Lebensdauer von Komponenten dauerhaft verkürzen. Nutzer mit dauerhaft erhöhten Temperaturen sollten deshalb nach unbefugten Mining-Prozessen suchen.

Die wirtschaftlichen Auswirkungen können insbesondere bei Cloud-Infrastrukturen erheblich sein. Sysdig-Forscher Stefano Chierici dokumentierte, dass Opfer für jeden 1 US-Dollar an Kryptowährung, den ein Angreifer erfolgreich schürft, 53 US-Dollar an Cloud-Rechenkosten zahlen.

Die TeamTNT-Operation verdeutlicht dieses Verhältnis im großen Maßstab: Die Kampagne brachte den Angreifern 8.100 US-Dollar in Monero ein, verursachte bei den Opfern jedoch über 430.000 US-Dollar an überhöhten Cloud-Rechnungen.

Auch Desktop-Nutzer können höhere Stromrechnungen feststellen, weil Mining-Hardware dauerhaft hohe Leistungslasten erzeugt. Diese liegen laut FinanceFeeds deutlich über den normalen Verbrauchsmustern typischer Büro-Computeraufgaben.

Infobox: Überhitzung, dauerhaft laufende Lüfter und ein im Standby-Modus doppelt so schneller Akkuverlust können auf Cryptojacking hindeuten. Laut Sysdig entstehen den Opfern für jeden 1 US-Dollar geschürfter Kryptowährung 53 US-Dollar an Cloud-Rechenkosten.

Browser-Mining und Erkennung auf Netzwerkebene

Browserbasiertes Cryptojacking schleust JavaScript-Mining-Code in Webseiten ein. Chrome-Nutzer können mit Umschalt + Esc den Browser-Task-Manager öffnen und prüfen, welche Tabs ungewöhnlich viele Ressourcen verbrauchen.

Nach Angaben aus der Berichterstattung von Cryptopolitan wurden bereits mehr als 3.500 Websites mit versteckten Monero-Mining-Skripten entdeckt. Besucher solcher Seiten stellen ihre Rechenleistung unwissentlich zur Verfügung, während sie im Internet surfen.

Als Schutzmaßnahme nennt FinanceFeeds Browser-Erweiterungen wie AdBlock Plus mit der NoCoin-Blockliste. Diese blockiert bekannte Cryptojacking-Domains, bevor Mining-Code ausgeführt werden kann.

Auch Netzwerküberwachung kann Hinweise liefern. Verbindungen zu bekannten Mining-Pool-Adressen sowie ungewöhnlicher ausgehender Datenverkehr zu Ports, die häufig von Mining-Protokollen genutzt werden, sollten näher untersucht werden.

Infobox: Beim Browser-Mining sollten Nutzer im Chrome-Browser-Task-Manager nach Tabs mit ungewöhnlich hoher CPU-Auslastung suchen. Mehr als 3.500 Websites wurden laut Cryptopolitan bereits mit versteckten Monero-Mining-Skripten in Verbindung gebracht.

Tools zur Erkennung und Entfernung

FinanceFeeds nennt Malwarebytes und Bitdefender als Anbieter kostenloser Scan-Tools, die Cryptojacking-Malware erkennen und entfernen können. Das Kaspersky Virus Removal Tool stellt einen On-Demand-Malware-Scanner bereit.

Für Infektionen auf Rootkit-Ebene wird die Kaspersky Rescue Disk genannt. Dabei handelt es sich um ein bootfähiges Wiederherstellungstool, das Infektionen erkennen soll, die von Standard-Scannern möglicherweise übersehen werden.

Standard-Antivirenprogramme erkennen bekannte Cryptojacking-Signaturen. Fortschrittliche Skripte, die legitime Prozesse imitieren, können jedoch spezialisierte Werkzeuge wie Microsoft Process Explorer oder die Kaspersky Rescue Disk erforderlich machen.

1. CPU- und GPU-Auslastung während Leerlaufphasen kontrollieren.
2. Verdächtige Prozesse im Task-Manager oder Aktivitätsmonitor prüfen.
3. Browser-Tabs mit ungewöhnlich hoher Ressourcennutzung untersuchen.
4. Verbindungen zu bekannten Mining-Pool-Adressen und auffällige Ports überwachen.
5. Malwarebytes, Bitdefender, KVRT oder die Kaspersky Rescue Disk einsetzen.

Infobox: Zur Entfernung stehen laut FinanceFeeds kostenlose Scan-Tools von Malwarebytes und Bitdefender, das Kaspersky Virus Removal Tool sowie die Kaspersky Rescue Disk zur Verfügung.

Verlagerung von Browser-Skripten zu Cloud-Workloads

FinanceFeeds berichtet, dass sich Cryptojacking-Angriffe zwischen 2024 und 2026 von Browser-Skripten hin zu Cloud-Workloads verlagerten. Mit der zunehmenden Verbreitung von Cloud Computing steigt damit die Bedeutung einer Überwachung von Laufzeitumgebungen und Containern.

Im ersten Quartal 2026 machten der öffentliche Verwaltungssektor und das Gesundheitswesen laut dem Quartalsbericht von Cisco Talos jeweils 24 % aller Incident-Response-Einsätze des Unternehmens aus. Der Bericht enthält nach Angaben von FinanceFeeds keine sektorspezifische Aufschlüsselung ausschließlich für Cryptojacking-Vorfälle.

Organisationen sollten eine Laufzeit-Überwachung von Containern sowie eine anomaliebasierte Erkennung implementieren. Einzelne Nutzer sollten ihre Antivirensoftware aktuell halten und regelmäßig die Muster der CPU-Auslastung überwachen.

Infobox: Der Schwerpunkt der Angriffe verlagerte sich laut FinanceFeeds zwischen 2024 und 2026 zu Cloud-Workloads. Öffentliche Verwaltung und Gesundheitswesen standen im ersten Quartal 2026 jeweils für 24 % der Incident-Response-Einsätze von Cisco Talos.

Sources:

• Anzeichen für heimliches Krypto-Mining am Computer