Kryptowährungs-Mining-Angriffe auf Google Cloud abwehren

Das Kryptowährungs-Mining (auch Bitcoin-Mining genannt) ist der Prozess zum Erstellen neuer Cryptocoins und zum Prüfen von Transaktionen. Kryptowährungs-Mining-Angriffe treten auf, wenn Angreifer, die Zugriff auf Ihre Umgebung erhalten, Ihre Ressourcen ausnutzen, um auf Ihre Kosten eigene Mining-Vorgänge auszuführen.

Im Bericht „Cloud Threat Horizons “ für das erste Halbjahr 2026 wird gewarnt, dass sich der Zeitraum zwischen der Offenlegung einer Sicherheitslücke und ihrer aktiven Ausnutzung von Wochen auf nur wenige Tage verkürzt hat. Bedrohungsakteure können in weniger als einer Stunde vom ersten Zugriff zur Bereitstellung der sekundären Nutzlast übergehen und große Sprachmodelle (Large Language Models, LLMs) verwenden, um die Erfassung von Anmeldedaten in weniger als 72 Stunden zu automatisieren. Das Mining von Kryptowährungen kann die Kosten schnell in die Höhe treiben, und ein Kryptowährungs-Mining-Angriff kann zu einer viel höheren Rechnung führen, als Sie erwartet haben. Da sich die Kosten schnell summieren können, müssen Sie Schutz-, Aufdeckungs- und Schadensbegrenzungsmaßnahmen zum Schutz Ihres Unternehmens ergreifen.

Dieses Dokument richtet sich an Sicherheitsarchitekten und Administratoren. Es werden Best Practices beschrieben, mit denen Sie Ihre Google Cloud Ressourcen vor Kryptowährungs-Mining-Angriffen schützen und die Auswirkungen eines Angriffs minimieren können.

Informationen zum Reagieren auf Kryptowährungs-Mining-Benachrichtigungen finden Sie unter Auf Missbrauchsbenachrichtigungen und -warnungen reagieren.

Bedrohungsvektoren identifizieren

Wenn Sie feststellen möchten, ob Ihr Unternehmen Kryptowährungs-Mining-Angriffen ausgesetzt ist, müssen Sie die Bedrohungsvektoren identifizieren, die auf Ihr Unternehmen zutreffen.

Im Bericht „Cloud Threat Horizons“ für das erste Halbjahr 2026 wird darauf hingewiesen, dass die meisten Angreifer Sicherheitslücken wie die folgenden ausnutzen:

  • Sicherheitslücken in Drittanbieter- oder nutzerverwalteter Software
  • Schwache, fehlende oder kompromittierte Anmeldedaten
  • Fehlkonfigurationen in der Cloud oder in Anwendungen
  • Missbrauch von Identitäten und Tokens (z. B. Diebstahl von OAuth-Tokens oder OpenID Connect)

Darüber hinaus können Sie die folgenden Dokumente abonnieren und prüfen, um eine Liste von Bedrohungsvektoren zu erhalten:

Nachdem Sie die für Sie zutreffenden Bedrohungsvektoren identifiziert haben, können Sie die übrigen Best Practices in diesem Dokument nutzen, um ihnen zu begegnen.

Konten und Konto-Anmeldedaten schützen

Angreifer können ungeschützte oder falsch verwaltete Konten ausnutzen, um Zugriff auf Ihre Google Cloud Ressourcen zu erhalten. Google Cloud bietet verschiedene Optionen , die Sie zum Verwalten von Konten und Gruppen konfigurieren können. Berücksichtige Folgendes:

Verhindern Sie Internetzugriff auf Ihre Compute Engine- und GKE-Ressourcen

Wenn Sie den Internetzugriff reduzieren, haben Ihre Angreifer weniger Möglichkeiten, Sicherheitslücken zu finden und auszunutzen. In diesem Abschnitt werden die Best Practices beschrieben, mit denen Sie Ihre Compute Engine-VMs und Ihre GKE-Cluster (Google Kubernetes Engine) vor Internetzugriff schützen können.

Externen Traffic beschränken

Berücksichtigen Sie Folgendes, um externen Traffic zu beschränken:

Weitere Informationen zum Einschränken externen Traffics, z. B. zum Konfigurieren von Cloud NAT, um ausgehende Kommunikation für VMs ohne externe IP Adresse zuzulassen, oder zum Verwenden eines Proxy-Load-Balancers für eingehende Kommunikation finden Sie unter Sicher mit VM-Instanzen verbinden.

Zugriff auf Dienste steuern

Berücksichtigen Sie Folgendes, um den Zugriff auf Dienste zu steuern:

Compute Engine- und GKE-Ressourcen schützen

Für das Mining von Kryptowährungen sind Rechenressourcen erforderlich. In diesem Abschnitt werden die Best Practices beschrieben, mit denen Sie Ihre Compute Engine- und GKE-Ressourcen schützen können.

VM-Images schützen

Berücksichtigen Sie Folgendes, um Ihre VM-Images zu schützen:

Dienstkonten einschränken

Berücksichtigen Sie Folgendes, um Dienstkonten einzuschränken:

Weitere Best Practices zum Schutz von Dienstkonten finden Sie unter Best Practices für die Arbeit mit Dienstkonten.

VMs und Container überwachen und patchen

Um einen Kryptowährungs-Mining-Angriff zu starten, nutzen Angreifer häufig Fehlkonfigurationen und Softwaresicherheitslücken, um Zugriff auf Compute Engine- und GKE-Ressourcen zu erhalten.

Berücksichtigen Sie Folgendes, um VMs und Container zu überwachen und zu patchen:

Lieferkette schützen

Continuous Integration und Continuous Delivery (CI/CD) bietet einen Mechanismus, mit dem Sie Ihren Kunden die neuesten Funktionen schnell zur Verfügung stellen können. Führen Sie eine Codeanalyse durch und beobachten Sie Ihre Pipeline auf böswillige Angriffe, um Kryptowährungs-Mining-Angriffe auf Ihre Pipeline zu verhindern.

Berücksichtige Folgendes:

Informationen zum Einrichten einer sicheren Lieferkette mit GKE finden Sie unter Sicherheit der Softwarelieferkette.

Secrets und Schlüssel verwalten

Ein Schlüsselangriffsvektor für nicht autorisierte Kryptowährung-Mining-Angriffe ist unsicher oder geleakt. In diesem Abschnitt werden die Best Practices beschrieben, mit denen Sie Ihre Secrets und Verschlüsselungsschlüssel schützen können.

Berücksichtige Folgendes:

Ungewöhnliche Aktivität erkennen

Konfigurieren Sie Google Cloud und Monitoring-Tools von Drittanbietern und richten Sie Benachrichtigungen ein, um anomale Aktivitäten zu überwachen. Berücksichtige Folgendes:

Teilnahme am Security Command Center Cryptomining Protection-Programm

Wenn Sie Security Command Center Premium-Kunde sind und Compute Engine verwenden, können Sie am Security Command Center Cryptomining Protection Program teilnehmen. Mit diesem Programm können Sie die Kosten für Compute Engine-VMs im Zusammenhang mit nicht erkannten und nicht autorisierten Kryptomining-Angriffen in Ihrer Compute Engine-VM-Umgebung aufdecken. Sie müssen die Best Practices für die Kryptomining-Erkennung implementieren, von denen sich einige mit den anderen Best Practices überschneiden, die auf dieser Seite beschrieben werden.

Incident Response-Plan aktualisieren

Achten Sie darauf, dass Ihr Incident Response Plan und Ihre Playbooks eine präskriptive Anleitung bieten, wie Ihre Organisation auf Angriffe durch Kryptowährungs-Mining reagiert. Ihr Plan sollte beispielsweise Folgendes enthalten:

  • Reichen Sie einen Supportfall bei Cloud Customer Care ein und wenden Sie sich an Ihren technischen Account Manager bei Google (TAM). Wenn Sie kein Supportkonto haben, überprüfen Sie die verfügbaren Supportpläne und erstellen Sie eines.
  • Wie Sie den Unterschied zwischen legitimen Hochleistungs-Computing (HPC) Arbeitslasten und Kryptowährung-Mining-Angriffen erkennen Sie können beispielsweise kennzeichnen, für welche Projekte HPC aktiviert ist, und Benachrichtigungen für unerwartete Kostenerhöhungen einrichten.
  • Wie Sie mit kompromittierten Google Cloud Anmeldedaten umgehen.
  • So können Sie infizierte Systeme unter Quarantäne stellen und aus fehlerfreien Sicherungen wiederherstellen.
  • Wer in Ihrer Organisation muss benachrichtigt werden, um den Angriff zu untersuchen und auf ihn zu reagieren?
  • Welche Informationen für Ihre rückwirkenden Aktivitäten müssen in Logs erfasst werden?
  • So können Sie überprüfen, ob Ihre Abhilfemaßnahmen die Mining-Aktivitäten effektiv beseitigen und die ursprüngliche Sicherheitslücke, die zu dem Angriff führte, beheben.
  • So reagieren Sie auf eine Benachrichtigung von Customer Care. Weitere Informationen finden Sie unter FAQ zu Richtlinienverstößen.

Weitere Informationen finden Sie unter Auf Angriffe reagieren und sich davon erholen.

Implementieren Sie einen Notfallwiederherstellungsplan

Erstellen Sie zur Vorbereitung eines Kryptowährungs-Mining-Angriffs die Geschäfts kontinuität und Notfallwiederherstellungspläne, erstellen Sie ein Playbook zur Reaktion auf Vorfälle und führen Sie theoretische Übungen durch.

Wenn das nicht autorisierte Kryptowährungs-Mining auftritt, müssen Sie den Bedrohungsvektor beheben, der die erste Verletzung verursacht hat, und Ihre Umgebung aus einem als funktionierend bekannten Zustand rekonstruieren. In Ihrem Notfallwiederherstellungsplan muss definiert sein, was ein als funktionierend bekannter Zustand ist, damit der Angreifer nicht wiederholt die gleichen Sicherheitslücken zur Ausnutzung Ihrer Ressourcen verwenden kann.

Nächste Schritte