На криптоджекинг пришлось 63% активности вредоносных семейств

Дата публикации: 06-08-2026 04:51:00

Эксперты компании «Информзащита» выявили тенденцию роста рисков, связанных со скрытым использованием корпоративных...

Основное содержимое страницы с новостью.

Эксперты компании «Информзащита» выявили тенденцию роста рисков, связанных со скрытым использованием корпоративных вычислительных ресурсов для майнинга криптовалют. По данным за период первого полугодия 2026 г., на криптоджекинг пришлось 63% активности идентифицированных семейств вредоносного ПО в инфраструктуре коммерческих организаций. При этом вредоносное ПО в целом сформировало 56% всей наблюдаемой активности, фишинг – 37%, а соединения с командно-контрольной инфраструктурой – 7%. Об этом CNews сообщили представители компании «Информзащита».

Предпосылки для распространения таких атак формировались в течение предыдущего года. Бот-активность в коммерческом секторе выросла на 19% год к году, а число атак на API увеличилось на 9%. Чем больше у организации доступных из интернета сервисов, облачных интерфейсов и систем управления, тем больше потенциальных точек входа возникает при недостаточном контроле доступа и конфигураций.

Высокая доля криптоджекинга объясняется его понятной экономикой. Доход злоумышленников формируется за счет постоянного потребления чужих процессорных, графических и облачных ресурсов. Инцидент может оставаться незамеченным неделями, поскольку инфраструктура продолжает выполнять основные функции, а ухудшение производительности часто списывают на рост нагрузки, неэффективность приложения или ошибки масштабирования. В облаке дополнительным маскирующим фактором может стать автоматическое масштабирование: если оно реагирует на затронутую метрику, платформа добавляет ресурсы, сервис сохраняет доступность, а расходы организации растут.

Эта модель особенно эффективна против компаний с распределенной инфраструктурой, большим количеством интернет-доступных сервисов и короткими циклами разработки. Злоумышленники ищут открытые панели управления, уязвимые веб-приложения, неправильно защищенные API и интерфейсы управления облачной инфраструктурой, контейнеры с избыточными правами и серверы с устаревшим программным обеспечением. Для первичного доступа также применяются украденные учетные данные и фишинговые письма. Среднесуточное число фишинговых событий в коммерческом сегменте увеличилось с 56 тыс. в феврале 2026 г. до 121 тыс. в марте 2026 г. и 134 тыс. в июне 2026 г. За два месяца показатель вырос почти на 138%, причем июньский прирост относительно февраля составил около 115%, а апрельский относительно марта 2026 г. – еще 11%. Такая динамика поддерживает поток скомпрометированных учетных записей, часть которых может использоваться для развертывания майнеров и закрепления в инфраструктуре.

Разбивка по векторам показывает, что криптоджекинг редко существует как изолированный процесс. В 56% наблюдаемых событий основную роль играло вредоносное ПО, включая загрузчики, скрипты развертывания и инструменты, устанавливаемые после первоначального проникновения. На фишинг пришлось 37% активности: через поддельные уведомления, обновления и страницы авторизации атакующие получают доступ к рабочим станциям и административным учетным записям. Еще 5% составили соединения с C2-серверами, необходимые для загрузки конфигураций, смены майнинговых пулов, обновления вредоносных компонентов и сохранения контроля над зараженными узлами. Внутри набора идентифицированных семейств 63% активности обеспечивал криптоджекинг, а оставшиеся 37% приходились на другие инструменты, включая RAT-семейства и вредоносное ПО, создающее удаленный доступ. Типовая цепочка выглядит как компрометация учетной записи или эксплуатация сервиса, запуск легковесного загрузчика, установка майнера, подключение к внешнему пулу и создание механизма автоматического перезапуска.

Отдельную роль играет распространение контейнерных и облачных сред. Компрометация одного узла Kubernetes, Docker API или сервисной учетной записи позволяет атакующему быстро развернуть майнер на нескольких экземплярах. При наличии прав на создание виртуальных машин злоумышленник способен запустить дополнительные мощности непосредственно за счет компании. В локальной инфраструктуре вредоносное ПО может использовать PowerShell для исполнения команд, задания планировщика и системные службы – для закрепления, а легитимные средства удаленного администрирования – для управления зараженным узлом. Такая техника затрудняет обнаружение, поскольку многие действия внешне похожи на штатную работу администраторов. Дополнительным индикатором может быть исходящий трафик к майнинговым пулам, однако атакующие применяют прокси, собственные шлюзы и зашифрованные соединения, что может скрывать конечный адрес пула. При этом для анализа остаются доступными длительность, периодичность и объем соединений.

Наиболее подвержены риску сферы, в которых высокая доступность сервисов сочетается с большим количеством интеграций и вычислительных ресурсов. На ретейл пришлось 61% бот-трафика коммерческого сектора, на туристические сервисы – 34%, на гостиничный бизнес – 5%. Распределение атак на API выглядит несколько иначе: ретейл получил 58% таких атак, гостиничные организации – 33%, туристические компании – 9%. В ретейле значимую поверхность атаки формируют крупные облачные среды, интернет-магазины, складские системы, программы лояльности и большое число подрядчиков. В гостиничном бизнесе значимую поверхность атаки формируют системы бронирования и интеграции с агрегаторами. Туристические компании зависят от большого числа внешних API и динамического масштабирования инфраструктуры в периоды повышенного спроса.

«Главный риск криптоджекинга не сводится к дополнительной нагрузке на серверы. Майнер показывает, что посторонний уже получил возможность выполнять код и распоряжаться ресурсами компании. Если ограничиться удалением процесса, тот же канал доступа может быть использован для кражи данных или более разрушительной атаки. Поэтому контроль производительности следует сопоставлять с событиями ИБ, журналами управления инфраструктурой и изменениями состава ресурсов, а аномальный рост облачного счета необходимо рассматривать как повод проверить, не связано ли увеличение расходов с несанкционированным использованием ресурсов», – сказал Анатолий Песковский, директор Департамента наступательной безопасности компании «Информзащита».

Для снижения риска компаниям требуется связать события ИБ и журналы управления инфраструктурой с эксплуатационной телеметрией и аномалиями расходов. В SOC следует коррелировать устойчивые отклонения загрузки CPU и GPU, создание новых виртуальных машин и контейнеров, изменение образов, запуск неизвестных процессов, действия сервисных учетных записей, изменения прав IAM и RBAC, события облачного и Kubernetes control plane и соединения с майнинговыми пулами или промежуточными прокси.Пороговые правила стоит дополнять поведенческими моделями, поскольку фиксированное ограничение может не заметить майнер, снижающий активность в рабочее время. Интернет-доступные панели, API и оркестраторы необходимо регулярно инвентаризировать, обновлять и ограничивать по сети. Для интерактивного административного доступа следует применять многофакторную аутентификацию, а для API и сервисных учетных записей – TLS, строгую авторизацию, минимальные права и, где это возможно, краткоживущие учетные данные. Сервисным учетным записям следует выдавать минимальные права, а контейнерам запрещать привилегированный режим без подтвержденной производственной необходимости. Сегментация должна ограничивать распространение вредоносного ПО между рабочими нагрузками, а контроль исходящих соединений – разрешать только ожидаемые направления и выявлять обращения к известным майнинговым пулам и промежуточным прокси. После обнаружения майнера недостаточно удалить процесс: необходимо найти первоначальный вектор проникновения, проверить механизмы закрепления, заменить скомпрометированные ключи и токены, проанализировать соседние узлы и сопоставить период заражения с изменением облачных и энергетических расходов.

• В каком ЦОД разместить оборудование Colocation? Найти ответ на ИТ-маркетплейсе CNewsMarket

Схожие новости

#	Наименование новости	Тональность	Информативность	Дата публикации
1	На криптоджекинг пришлось 63% активности вредоносных семейств	0	15.26	06-08-2026
2	«Информзащита»: украденные учетные данные используют более чем в 80% кибератак	0	7	25-06-2026
3	«Информзащита»: украденные учетные данные используют более чем в 80% кибератак	0	7	25-06-2026
4	«Информзащита»: число атак с использованием ботов выросло на 46%	0	5	20-07-2026
5	«Информзащита»: число атак с использованием ботов выросло на 46%	0	5	20-07-2026
6	Компрометация учетных данных стала главным вектором атак на поставщиков вузов	0	5	15-07-2026
7	Компрометация учетных данных стала главным вектором атак на поставщиков вузов	0	5	15-07-2026
8	58% организаций не могут определить уязвимости, которые реально используют злоумышленники	-1	6	16-07-2026
9	Каждая восьмая организация сохраняет прямой админ доступ от пользовательских устройств к серверам	0	5	19-06-2026
10	Более двух третей российских компаний за год пострадали от фишинга – опрос компании «Газинформсервис»	0	7	18-06-2026

Классификация: . Схожих патентов: 0. Схожих новостей: 10. Тональность: 0. Информативность: 15.26. Источник: mobileb2b.cnews.ru.