Тихий враг: как выявить скрытых майнеров по трафику и нагрузкам инфраструктуры

31.03.2026

Евгения Шафоростова

Автор

Скрытые криптомайнеры больше не выглядят как очевидный вредонос с перегретыми серверами и «красной зоной» загрузки процессора. Современные версии маскируются под легитимный трафик, используют шифрование, облачные сервисы и адаптивные профили нагрузки, незаметно потребляя ресурсы компании месяцами. В итоге бизнес теряет деньги, производительность и контроль над инфраструктурой, даже не подозревая о причине. Кибер Медиа разбирает, как по сетевому трафику, аномалиям нагрузок и корреляции событий выявлять скрытый майнинг, и почему классические средства защиты часто оказываются слепыми.

Содержание

Почему скрытый майнинг стал корпоративной проблемой

Скрытый майнинг эволюционировал из примитивного вируса в зрелую корпоративную угрозу, где объектом атаки становятся не данные, а само процессорное время. В отличие от кражи баз данных, которую нужно монетизировать через перекупщиков, криптоджекинг конвертирует украденные мегаватты в ликвидную валюту мгновенно. Корпоративные сети привлекают атакующих своей стабильностью и мощностью: в отличие от домашних ПК, серверы работают круглосуточно, а доступ к гипервизору позволяет масштабировать добычу на сотни виртуальных машин одним скриптом.

Современный майнинг — это не «шумный» процесс, разогревающий кулеры до свиста, а тихий паразит. Он использует продвинутые техники маскировки: ограничивает потребление CPU до порогов, не вызывающих срабатывания алертов, и мимикрирует под легитимные системные задачи или обновления. Проблема часто игнорируется, так как не несет немедленного ущерба доступности или целостности информации. Однако такая беспечность превращает инфраструктуру в бесплатную ферму, за содержание которой платит компания, игнорируя системные риски:

Прямые финансовые потери. В облачных средах майнеры способны за считаные часы выжечь годовой бюджет на масштабирование.
Скрытая компрометация. Наличие майнера — это стопроцентный маркер того, что в периметре есть брешь, которую завтра используют вымогатели.
Износ оборудования. Непрерывная фоновая нагрузка сокращает срок службы серверного парка и систем охлаждения.
Снижение производительности. Даже «тихий» майнинг создает микрозадержки в критических бизнес-приложениях, которые сложно диагностировать.
Репутационные риски. Использование мощностей компании в сомнительных блокчейн-операциях может нарушать политики комплаенса и этики.

Это не классическое вредоносное ПО, нацеленное на деструкцию, а паразитная модель эксплуатации. Злоумышленник не ломает систему, он становится ее нелегальным совладельцем, перекладывая все издержки на владельца инфраструктуры. Пока мониторинг ищет следы взлома БД, скрытый код просто «присасывается» к ресурсам, делая атаку максимально рентабельной и долговечной.

Сетевые признаки скрытого майнинга

Сетевой анализ остается наиболее эффективным способом обнаружения криптоджекинга, так как майнеру необходимо постоянно поддерживать связь с «центром» для получения новых заданий и отправки результатов. В отличие от анализа загрузки CPU, который легко обмануть, сетевое поведение майнера продиктовано математикой и архитектурой блокчейна.

Злоумышленники активно используют прокси-инфраструктуру, чтобы скрыть конечный адрес пула, но это создает свои аномалии. Вместо обращений к известным облачным сервисам или доверенным корпоративным доменам, скомпрометированные узлы начинают стучаться в нетипичные ASN, принадлежащие мелким хостинг-провайдерам или зарубежным регистраторам, с которыми у компании нет никаких деловых связей. Выявление таких паттернов требует комплексного подхода к мониторингу.

Екатерина Едемская

Киберэксперт и инженер-аналитик компании «Газинформсервис»

Скрытые майнеры выдают себя постоянными соединениями на нестандартные порты (3333, 5555 и т. д.) к майнинг-пулам, особенно ночью. Аномально высокий зашифрованный трафик к зарубежным серверам при низкой бизнес-активности хоста — ключевой индикатор. Майнеры создают регулярные короткие соединения, часто меняя IP-адреса.

В DNS-трафике видны запросы к доменам с буквенно-цифровыми именами или к криптотематике. Характерна высокая загрузка CPU при умеренном сетевом трафике. Часто используют протокол Stratum поверх TLS с JSON-RPC-запросами (getwork, mining.authorize).

Критично отслеживать соединения с регионами с дешевой электроэнергией — это классический признак скрытого майнинга, требующий немедленного реагирования для защиты инфраструктуры и минимизации финансовых потерь организации от несанкционированного использования вычислительных ресурсов.

Сигнатурный сетевой поиск в современных реалиях работает плохо, так как криптоджекеры давно научились использовать TLS-шифрование, превращая трафик в нечитаемый для простых IPS-систем поток. Более того, использование кастомных прокси-серверов позволяет атакующим менять IP-адреса быстрее, чем они попадают в черные списки.

В итоге поиск превращается в игру в кошки-мышки, где классические правила на базе статических признаков уступают место поведенческому анализу и выявлению аномалий в метаданных соединений. Майнер может не скачивать гигабайты и не ломить процессор в пол, но он не может перестать быть сетевым устройством, чья единственная цель — постоянная связь с внешним миром.

Нагрузки и энергопотребление как индикаторы компрометации

Скрытый майнинг сегодня — это игра в прятки с использованием системных ресурсов. Вместо того чтобы блокировать работу, вредоносный код аккуратно встраивается в «пустоты» инфраструктуры. Для ИБ-специалиста это означает, что привычные алерты на 100%-ю загрузку CPU больше не работают. Современный паразит предпочитает забирать ровно столько, чтобы не инициировать проверку со стороны системного администрирования.

Никита Новиков

Эксперт по кибербезопасности Angara Security

Выявление по CPU, GPU и энергопотреблению работает очень эффективно как триггер, но слабее как доказательство. Майнеру нужно непрерывно потреблять вычисления, поэтому на зараженных узлах часто наблюдается плато загрузки процессора или видеокарты, рост температуры, изменение частот и деградация производительности прикладных сервисов. В средах с телеметрией по питанию и датчикам это дополняется скачком потребления и изменением профиля по времени суток.

Ограничение в том, что легитимные задачи дают похожую картину, а современные майнеры умеют троттлить, снижать приоритет, привязываться к простоям пользователя, работать по расписанию и имитировать небольшую фоновую нагрузку. Поэтому сравнивать параметры «нагрузка на CPU/GPU» и «нагрузка на сеть» неправильно: результат дает корреляция. Сеть подтверждает внешнюю инфраструктуру управления или пул-подобные коммуникации, а хостовые метрики позволяют оценить фактический ущерб и построить таймлайн заражения.

Основным маркером становится не пиковая нагрузка, а изменение фундаментального поведения системы и ее «аппетита» к электроэнергии. Когда серверный парк начинает потреблять ресурсы вопреки бизнес-логике, это проявляется в следующих признаках:

Исчезновение циклов отдыха. Графики мониторинга теряют естественные ночные и праздничные провалы, превращаясь в ровную линию без периодов покоя.
Мимикрия под пользователя. Нагрузка на рабочих станциях плавно растет, когда сотрудник отходит от компьютера, и мгновенно падает при движении мыши или открытии диспетчера задач.
Деградация кэша. Системные задержки растут из-за того, что майнер постоянно забивает L3-кэш процессора и шину памяти своими вычислениями.

Анализ нагрузки в отрыве от сетевой активности — это ловушка, генерирующая сотни ложных срабатываний. Любой «протекший» процесс Java или тяжелый антивирусный скан выглядят для мониторинга так же, как майнер. Истинная компрометация подтверждается только там, где аппаратная аномалия совпадает с попытками узла связаться с внешними адресами. Без этого контекста борьба с майнингом превращается в бесконечную охоту на баги легитимного софта.

Маскировка трафика под легитимную активность

Чтобы сетевой экран не поднял тревогу, современный майнинг маскируется под привычный веб-серфинг или работу с облаками. Злоумышленники давно отказались от голого Stratum-протокола в пользу HTTPS-туннелей. Внутри зашифрованного пакета может быть что угодно: от легитимного запроса к базе данных до отправки вычисленного хэша на пул. Для систем мониторинга такой трафик выглядит как стандартный порт 443, идущий на внешние ресурсы.

Михаил Пырьев

Менеджер продукта UDV NTA

Скрытый майнинг условно делится на браузерный и хостовой. Браузерные варианты, например, Coinhive-подобные скрипты, используют HTTPS и WebSocket-соединения с backend-пулами и внешне могут напоминать обычную пользовательскую активность.

Хостовые майнеры чаще маскируются под легитимные сервисы или облачную инфраструктуру, чтобы обойти межсетевые экраны и не выделяться на уровне сетевых политик. Однако ключевое отличие остается: поведение программы детерминировано и повторяемо, в то время как пользовательский трафик значительно менее предсказуем.

Основная хитрость заключается в том, куда именно направляется этот трафик. Вместо подозрительных IP-адресов в «черных списках» используются доверенные посредники. Это превращает поиск угрозы в попытку найти иголку в стоге легитимных подключений к известным сервисам:

Использование CDN. Трафик пропускается через сети доставки контента вроде Cloudflare, что скрывает реальный адрес пула за IP-адресами популярных глобальных узлов.
Domain Fronting. Использование разных доменов на уровнях DNS и TLS-запроса, из-за чего проверка по доменному имени выдает «безопасный» результат.
Мимикрия под SaaS/API. Пакеты имитируют структуру JSON-запросов популярных бизнес-инструментов или обновлений софта, растворяясь в общем потоке API-вызовов.

Несмотря на шифрование, майнер выдает себя через поведенческие паттерны. Даже внутри HTTPS сохраняется специфический ритм: пакеты имеют почти идентичный размер и отправляются с четко выверенным интервалом. Это не похоже на поведение человека, который хаотично кликает по ссылкам, или приложения, передающего данные рывками. Анализ метаданных сессии — длительности соединения, частоты запросов и соотношения входящего/исходящего трафика — позволяет выявить «паразита» даже в полностью закрытом канале.

Корреляция как ключ к обнаружению

В мире современной ИБ одиночные алерты — это белый шум. Майнер может идеально мимикрировать под системный процесс в диспетчере задач или прикидываться стандартным HTTPS-трафиком в логах прокси. По отдельности эти признаки не вызывают подозрений: сервер может быть загружен из-за бэкапа, а исходящий TLS-запрос — быть обычным обновлением. Настоящее обнаружение начинается там, где разные типы данных связываются в единую картину через корреляцию.

Виктор Гуров

Руководитель ИБ-команды Ideco

Наибольшую практическую ценность дает корреляция сетевых событий с телеметрией от конечных хостов. Такой подход позволяет собирать и сопоставлять аномалии из разных точек инфраструктуры в едином контуре анализа и принимать более точные решения.

Эффективный поиск криптоджекинга строится на пересечении метрик, которые в нормальной ситуации никогда не синхронизируются случайным образом. Если мы видим рост потребления ресурсов, который не подтверждается бизнес-транзакциями, но совпадает с аномалиями в других слоях, это и есть «цифровой отпечаток» майнера:

Сетевой трафик + загрузка ресурсов. Процессор начинает работать активнее ровно в те миллисекунды, когда открывается сетевая сессия к нетипичному ASN.
Энергопотребление + расписание. Резкий рост тока на PDU в три часа ночи при отсутствии запланированных задач по обработке данных или индексации.
Поведенческие профили. Отклонение узла от его «базовой линии» — например, когда контроллер домена вдруг начинает генерировать стабильный исходящий трафик на 443 порт.

Вместо того чтобы искать конкретный вирус, ИБ-специалист должен анализировать «жизнедеятельность» узла. Когда в одной временной точке сходятся подозрительный DNS-запрос, микро-скачок CPU и обращение к реестру, вероятность ложного срабатывания стремится к нулю. Именно такая многослойная проверка позволяет выявлять даже самых «тихих» майнеров, которые успешно обходят антивирусы и сигнатурные сканеры.

Роль SIEM и NDR в поиске скрытых майнеров

Скрытый майнинг в корпоративной среде давно перерос стадию простых антивирусных детектов. Теперь это противостояние аналитических систем, где победа зависит от умения сопоставлять разнородные данные. Если рассматривать каждый инструмент в вакууме, майнер остается невидимым: для сетевого шлюза это обычный зашифрованный трафик, для мониторинга серверов — допустимая фоновая нагрузка, а для антивируса — легитимный инструмент системного администрирования.

Станислав Грибанов

Руководитель продукта «Гарда NDR» компании «Гарда»

Выявление майнинга — один из сценариев для использования NDR. Технологии машинного обучения позволяют детектировать аномальное поведение хостов, даже при использовании техник сокрытия — туннелей или HTTPS трафика. Дополнительным фактором уверенности может стать совпадение данных из аномальных сессий с репутационными базами Threat Intelligence.

В этом сценарии SIEM выступает связующим звеном: она может коррелировать детекты NDR с данными других СЗИ, правда, без выявления аномалий в сетевом трафике. Например, аномально высокая загрузка CPU по недоверенным процессам с детектом нетипичного поведения этого узла в сетевом трафике от NDR.

Такой подход превращает разрозненные подозрения в подтвержденный инцидент. Вместо того чтобы тонуть в ложных срабатываниях от «протекших» приложений, ИБ-специалист получает готовую цепочку событий: от момента проникновения через уязвимость до запуска паразитных вычислений. Это позволяет не просто удалять вредоносный файл, а видеть всю модель эксплуатации ресурсов в динамике, отсекая майнерам доступ к самому дорогому — вашему процессорному времени.

Почему заражение не находят месяцами

Скрытый майнинг — чемпион по «выживанию» в корпоративных сетях, и главная причина кроется в фундаментальной ошибке мониторинга: попытке найти конкретный файл вместо анализа странного поведения. Традиционные средства защиты ищут знакомые сигнатуры, но авторы майнеров обновляют код быстрее, чем выходят базы антивирусов. В итоге вредонос может месяцами крутиться в памяти сервера, пока ИБ-отдел ждет алерта от системы, которая просто не обучена видеть «серую» активность.

Никита Новиков

Эксперт по кибербезопасности Angara Security

Заражение месяцами живет из-за ошибок методологии расследования. Самая распространенная ошибка — реагировать на шум: остановили процесс, перезагрузили машину, но не сняли артефакты и не установили механизм закрепления, после чего майнер возвращается через задачу планировщика или службу.

Вторая по частоте ошибка — вера в списки пулов и доменов: злоумышленники давно используют прокси, шифрование и быстро меняющуюся инфраструктуру, поэтому отсутствие прямого Stratum не означает отсутствие майнинга.

Третья ошибка — отсутствие базовой линии поведения: без нормального профиля сегмента невозможно увидеть, что сервер внезапно ведет себя как рабочая станция с постоянным внешним трафиком.

И ключевая системная ошибка — не закрывать первопричину компрометации. Пока остаются открытые удаленные доступы, слабая аутентификация, уязвимые сервисы, скомпрометированные агенты автоматизации или недопатченные узлы, майнер будет мигрировать и восстанавливаться, даже если вы вылечили один конкретный хост.

Недооценка внутренних угроз и отсутствие глубокой видимости трафика между сегментами ЦОДа создают идеальную слепую зону. В этой тишине паразит успевает стать частью системы, превращаясь в «легитимный» фоновый процесс, который не ищут просто потому, что он не ломает сервисы и не крадет пароли, а лишь понемногу истощает бюджет компании.

Методология поиска скрытых майнеров

Методология обнаружения скрытых майнеров — это не разовое сканирование, а постоянный процесс детекции отклонений от «здорового» состояния системы. Все начинается с формирования базового профиля инфраструктуры, без которого любые цифры загрузки процессора остаются лишь набором случайных данных. Нужно четко знать, сколько ресурсов потребляет серверный парк в периоды простоя и как выглядит типичный сетевой трафик легитимных приложений, чтобы любая посторонняя активность сразу бросалась в глаза на уровне графиков.

Как только фундамент заложен, поиск переходит в фазу активного анализа аномалий. Здесь критически важно перестать смотреть на метрики по отдельности и начать связывать их в логические цепочки. Если NDR-система видит цикличные запросы к неизвестным хостам, а EDR на том же узле фиксирует всплески вычислений в нерабочее время — это точка входа для глубокой технической верификации. На этом этапе ИБ-специалист выступает в роли цифрового детектива, сопоставляя аппаратную телеметрию с сетевыми артефактами:

Синхронизация метрик. Выявление корреляции между сетевыми сессиями и скачками потребления ресурсов на конкретных PID процессов.
Анализ DNS и трафика. Поиск периодических запросов к доменам майнинг-пулов или использование TLS-туннелей на нестандартных портах.
Форензика памяти. Поиск внедренного кода в адресное пространство системных служб, которые формально выглядят как «чистые».
Проверка планировщика. Аудит заданий и автозагрузки на предмет наличия скриптов, которые запускают вычисления только при простое пользователя.
Энергетический аудит. Сопоставление данных от систем управления питанием с реальной бизнес-нагрузкой критических серверов.

Завершающим этапом становится поиск первичной точки компрометации. Удаление самого майнера бессмысленно, если в системе остался «бэкдор» или незакрытая уязвимость, через которую он попал внутрь. Форензика узлов должна дать ответ на вопрос, как именно паразит проник в периметр: был ли это фишинг, эксплуатация старой дыры в веб-сервисе или скомпрометированная учетная запись администратора. Только устранив причину, а не следствие, можно гарантировать, что ваш ЦОД перестанет работать на чужой кошелек.

Профилактика и защита

Профилактика скрытого майнинга обходится компании в разы дешевле, чем попытки вычистить его из разросшейся инфраструктуры. Когда паразит уже закрепился в сети, он начинает использовать легитимные инструменты администрирования для самораспространения, превращая ликвидацию последствий в бесконечную игру «убей крота». Стратегия защиты должна строиться на создании максимально враждебной среды для любого нецелевого использования ресурсов, где во главе угла стоит жесткий контроль исходящих соединений и прав доступа.

Ключевой рубеж обороны — это ограничение outbound-трафика. Майнер бесполезен без связи с внешним миром: если сервер в закрытом сегменте базы данных не может «позвонить домой» на пулы или прокси-серверы, он превращается в балласт для атакующего. Сегментация сети и политика разрешенных портов на выход — это те самые барьеры, которые делают эксплуатацию ресурсов экономически невыгодной для злоумышленника.

Эффективная защита требует комплексного подхода, который закрывает возможности для запуска и работы паразитного кода:

Контроль исполняемых файлов. Использование технологий белого списка, чтобы в системе не мог запуститься ни один процесс, не одобренный ИБ-департаментом.
Принцип минимальных привилегий. Ограничение прав пользователей и сервисных аккаунтов, чтобы скомпрометированное веб-приложение не могло управлять ресурсами CPU или устанавливать драйверы.
Поведенческая аналитика. Настройка алертов на любые отклонения от базового профиля системы, будь то внезапный скачок потребления ресурсов или нетипичный DNS-запрос.
Мониторинг энергопотребления. Интеграция данных от систем управления питанием в общий контур безопасности для обнаружения «железных» аномалий.
Регулярный патчинг. Оперативное закрытие уязвимостей, которые чаще всего используются для доставки майнеров, например, RCE в веб-сервисах, дыры в VPN-шлюзах.

Профилактика важнее реагирования, потому что она бьет по самой сути экономики криптоджекинга. Злоумышленники ищут легкую добычу — системы, где можно «присосаться» к ресурсам и оставаться незамеченными месяцами. Как только стоимость обхода защитных мер превышает потенциальную прибыль от добытых монет, ваша компания перестает быть интересной для «цифровых паразитов».

Заключение

Скрытый майнинг — это не классический вирус, а фундаментальная проблема архитектуры, где злоумышленник паразитирует на избыточном доверии внутри сети. Его невозможно поймать одним инструментом, так как он мастерски прячется в «серых зонах» между нормальной нагрузкой и легитимным зашифрованным трафиком.

Для современного SOC этот вызов требует перехода от поиска сигнатур к системному анализу поведения. Победа над криптоджекингом возможна только через корреляцию сетевых аномалий с аппаратными метриками. Это игра на поле экономики ресурсов: инфраструктура защищена лишь тогда, когда любое нецелевое использование мощностей становится для атакующего видимым и дорогим.