Detecção de Criptomining na Nuvem

Quando Usar

• Quando alertas de faturamento na nuvem indicarem picos inesperados de custo de computação
• Quando o GuardDuty gerar tipos de achados CryptoCurrency ou Impact
• Ao investigar credenciais IAM comprometidas que podem ser usadas para iniciar instâncias de mineração
• Ao monitorar cargas de trabalho de contêineres para execução de processos não autorizados
• Ao estabelecer controles de detecção proativos contra ataques de sequestro de recursos

Não use para operações legítimas de mineração de criptomoedas, para detecção de mineração não relacionada à nuvem em hardware físico, ou para análise geral de malware não relacionada à atividade de mineração.

Pré-requisitos

• Amazon GuardDuty habilitado com Runtime Monitoring para EC2, ECS e EKS
• CloudWatch ou Azure Monitor configurado para alertas de utilização de computação
• VPC Flow Logs habilitados para análise de tráfego de rede para IPs de pools de mineração
• AWS Cost Anomaly Detection ou alertas do Azure Cost Management configurados

Fluxo de Trabalho

Etapa 1: Estabelecer Detecção Através de Múltiplos Sinais

Implante a detecção em quatro categorias de sinais: anomalias de custo, utilização de computação, tráfego de rede e processos em tempo de execução.

# AWS Cost Anomaly Detection
aws ce create-anomaly-monitor \
  --anomaly-monitor '{
    "MonitorName": "EC2CostSpike",
    "MonitorType": "DIMENSIONAL",
    "MonitorDimension": "SERVICE"
  }'

aws ce create-anomaly-subscription \
  --anomaly-subscription '{
    "SubscriptionName": "CryptoMiningAlert",
    "MonitorArnList": ["arn:aws:ce::123456789012:anomalymonitor/monitor-id"],
    "Subscribers": [{"Address": "security@company.com", "Type": "EMAIL"}],
    "Threshold": 50.0,
    "Frequency": "IMMEDIATE"
  }'

# CloudWatch alarm for CPU utilization spike
aws cloudwatch put-metric-alarm \
  --alarm-name HighCPUUtilization \
  --namespace AWS/EC2 \
  --metric-name CPUUtilization \
  --statistic Average \
  --period 300 \
  --threshold 90 \
  --comparison-operator GreaterThanThreshold \
  --evaluation-periods 3 \
  --alarm-actions "arn:aws:sns:us-east-1:123456789012:security-alerts"

Etapa 2: Monitorar Achados CryptoCurrency do GuardDuty

Configure alertas para achados do GuardDuty específicos para atividades de criptomining em cargas de trabalho EC2, ECS e EKS.

Principais tipos de achados do GuardDuty para criptomining:

• CryptoCurrency:EC2/BitcoinTool.B - Conexões de rede para domínios relacionados a cripto
• CryptoCurrency:Runtime/BitcoinTool.B - Detecção em tempo de execução da execução de processos de mineração
• Impact:EC2/BitcoinTool.B - Instância EC2 se comunicando com pools de mineração de Bitcoin conhecidos
• Impact:Runtime/CryptoMinerExecuted - Execução de binário de criptomining detectada pelo agente de tempo de execução

# EventBridge rule for cryptocurrency findings
aws events put-rule \
  --name CryptoMiningDetection \
  --event-pattern '{
    "source": ["aws.guardduty"],
    "detail-type": ["GuardDuty Finding"],
    "detail": {
      "type": [
        {"prefix": "CryptoCurrency:"},
        {"prefix": "Impact:EC2/BitcoinTool"},
        {"prefix": "Impact:Runtime/CryptoMiner"}
      ]
    }
  }'

# Auto-remediation Lambda for crypto findings
aws events put-targets \
  --rule CryptoMiningDetection \
  --targets '[{
    "Id": "CryptoAutoRemediate",
    "Arn": "arn:aws:lambda:us-east-1:123456789012:function/crypto-remediate"
  }]'

Etapa 3: Analisar Tráfego de Rede para Conexões com Pools de Mineração

Monitore VPC Flow Logs e consultas DNS para conexões com pools de mineração de criptomoedas conhecidos operando em portas comuns (3333, 4444, 5555, 8333, 9999, 14444).

// Sentinel KQL query for mining pool connections
AzureNetworkAnalytics_CL
| where TimeGenerated > ago(24h)
| where DestPort_d in (3333, 4444, 5555, 8333, 9999, 14444, 14433, 45700)
| summarize ConnectionCount = count(), BytesSent = sum(BytesSent_d)
            by SrcIP_s, DestIP_s, DestPort_d, bin(TimeGenerated, 1h)
| where ConnectionCount > 10
| project TimeGenerated, SrcIP_s, DestIP_s, DestPort_d, ConnectionCount, BytesSent

# AWS Athena query for VPC Flow Logs mining pool detection
cat << 'EOF' > mining-detection.sql
SELECT srcaddr, dstaddr, dstport, protocol,
       COUNT(*) as connection_count,
       SUM(bytes) as total_bytes
FROM vpc_flow_logs
WHERE dstport IN (3333, 4444, 5555, 8333, 9999, 14444)
  AND action = 'ACCEPT'
  AND start >= date_add('hour', -24, now())
GROUP BY srcaddr, dstaddr, dstport, protocol
HAVING COUNT(*) > 10
ORDER BY connection_count DESC
EOF

Etapa 4: Detectar Mineração em Ambientes de Contêiner

…