Cryptojacking
El cryptojacking es el uso no autorizado de los recursos de computación de otro para minar criptomoneda. En entornos cloud suele ser el síntoma visible de una credencial comprometida más que el objetivo en sí, y eso convierte una subida inexplicada del gasto de computación en un sensor de intrusión barato y fiable.
La secuencia es siempre la misma. Se encuentra una clave de acceso en un repositorio público, hay una plataforma de contenedores expuesta sin autenticación, o una carga de trabajo alcanzable y sin parchear. El atacante hace entonces lo más rápido que convierte el acceso en dinero: arrancar computación en todas las regiones que permita la cuenta, del tamaño que dé la cuota. Nada de esa actividad es sutil, porque la sutileza le cuesta ingresos al atacante.
Lo que hace que merezca tomarse en serio es lo que implica, no lo que cuesta. La credencial que arrancó instancias podría haber leído los datos, alterado la infraestructura o creado una identidad persistente, y minar es sencillamente la opción que paga de inmediato. Tratar la factura como si fuera el incidente y rotar la clave sin averiguar qué más tocó esa identidad es el error que más vemos después.
La detección está al alcance de cualquiera y no cuesta nada: anomalías de gasto por región y por servicio, solicitudes de ampliación de cuota, y computación arrancada fuera de la cadena de despliegue. La prevención es el mismo conjunto de controles que resuelve una cloud misconfiguration en general, y retirar todas las claves de acceso de larga duración hace la mayor parte del trabajo. Esos son los mismos caminos que recorremos en las pruebas cloud, que siguen las mismas rutas que seguiría un minero.