Cryptomining

Cryptomining is het proces waarbij rekenkracht wordt ingezet om wiskundige puzzels op te lossen en daarmee transacties op een blockchain te valideren. Als beloning ontvangt de miner cryptocurrency. Op zichzelf is cryptomining een legitieme activiteit, maar binnen cybersecurity verwijst de term vrijwel altijd naar cryptojacking: het ongeautoriseerd gebruiken van andermans rekenkracht om cryptocurrency te minen. Aanvallers installeren mining-software op gecompromitteerde systemen, of injecteren mining-scripts in websites, waardoor de systemen van slachtoffers ongemerkt worden ingezet om geld te genereren voor de aanvaller. Het is een van de meest wijdverspreide vormen van malware en treft zowel individuele gebruikers als grote organisaties en cloudinfrastructuren. De populairste cryptocurrency voor cryptojacking is Monero (XMR), vanwege de anonimiteit die het biedt en de mogelijkheid om effectief te minen op reguliere processoren.

Waarom is cryptomining belangrijk?

Cryptojacking is een sluipende dreiging die vaak lang onopgemerkt blijft. In tegenstelling tot ransomware, die zichzelf direct kenbaar maakt, probeert cryptomining-malware juist zo lang mogelijk onzichtbaar te opereren. De aanvaller heeft er baat bij dat de mining-software maanden of zelfs jaren draait zonder ontdekt te worden. Dit maakt cryptojacking bijzonder moeilijk te detecteren met traditionele beveiligingstools die zijn gericht op opvallend kwaadaardig gedrag zoals bestandsversleuteling of data-exfiltratie.

De impact op organisaties is aanzienlijk, ook al wordt er geen data gestolen. Cryptomining-malware verbruikt grote hoeveelheden CPU- en GPU-capaciteit, wat leidt tot verminderde prestaties van servers en werkstations, verhoogd energieverbruik en aanzienlijk hogere elektriciteitskosten, versnelde slijtage van hardware door continue maximale belasting, en instabiliteit van kritieke applicaties die moeten concurreren om processor-resources. In cloudomgevingen kan ongeautoriseerde cryptomining leiden tot explosief stijgende rekeningen wanneer auto-scaling extra resources provisioneert om aan de plotselinge vraag te voldoen.

Volgens Cybersecurity Ventures nemen cloud-cryptojacking-aanvallen jaarlijks met 20% toe naarmate meer organisaties hun infrastructuur naar de cloud verplaatsen. In 2025 zijn cryptomining-aanvallen geavanceerder geworden door het gebruik van AI-gestuurde scripts die hun gedrag dynamisch aanpassen om detectie te omzeilen. Moderne cryptominers beperken bewust hun CPU-gebruik tot 30-50% om geen argwaan te wekken, pauzeren hun activiteit wanneer de gebruiker actief is op het systeem, en gebruiken geavanceerde technieken om zich te verbergen voor procesmonitors en beveiligingssoftware. Deze voortdurende evolutie maakt het steeds moeilijker om cryptojacking te onderscheiden van legitiem systeemgebruik zonder gespecialiseerde detectiemethoden.

Hoe pas je bescherming tegen cryptomining toe?

Detectie begint met het monitoren van systeem-resources over langere perioden. Onverklaarbare pieken in CPU- of GPU-gebruik, structureel verhoogd energieverbruik, systemen die consistent trager reageren dan normaal en onbekend uitgaand netwerkverkeer zijn allemaal indicatoren van mogelijke cryptomining-activiteit. Implementeer monitoring op je SIEM-platform die alerts genereert bij afwijkende patronen in resource-gebruik, met name wanneer de afwijking zich voordoet buiten kantooruren of op systemen die normaal een laag CPU-gebruik hebben.

Op netwerkniveau detecteer je cryptomining door verkeer naar bekende mining pools te monitoren en te blokkeren. Mining-software communiceert via specifieke protocollen (met name het Stratum-protocol) met mining pool-servers op herkenbare poorten. Door deze communicatiepatronen te herkennen en te blokkeren via je firewall of intrusion prevention system, voorkom je dat gecompromitteerde systemen succesvol minen, zelfs als de malware geïnstalleerd is. Gebruik threat intelligence feeds om je blokkeerlijsten actueel te houden met bekende mining pool-adressen, domeinnamen en IP-ranges.

Tegen browser-based cryptojacking bescherm je je door mining-scripts te blokkeren via browser-extensies zoals MinerBlock of No Coin, of via je webfiltering-oplossing op netwerkniveau. Veel organisaties blokkeren JavaScript-based miners centraal via hun webproxy of DNS-filtering, zodat individuele werkstations automatisch beschermd zijn ongeacht de browserconfiguratie. Overweeg ook het implementeren van een strikt Content Security Policy (CSP) dat voorkomt dat externe scripts worden uitgevoerd op je eigen webapplicaties, waardoor je voorkomt dat aanvallers mining-scripts injecteren na een websitecompromittering.

Endpoint protection speelt een cruciale rol bij de preventie van cryptomining-malware. Moderne EDR-oplossingen detecteren cryptomining-gedrag op basis van procesbehavior en resource-patronen, niet alleen op basis van bekende signatures. Zorg dat je endpointbeveiliging specifiek is geconfigureerd om op mining-activiteit te monitoren en dat de detectieregels regelmatig worden bijgewerkt. Veel EPP-leveranciers hebben dedicated cryptomining-detectiemodules toegevoegd die het typische gedragspatroon van miners herkennen.

In cloudomgevingen implementeer je aanvullende maatregelen. Configureer budgetalerts die direct waarschuwen bij onverwachte kostenstijgingen. Gebruik cloud-native beveiligingstools die afwijkend resource-gebruik detecteren en onbekende workloads automatisch identificeren en markeren. Monitor op het aanmaken van ongeautoriseerde compute-instances en stel IAM-beleid in dat voorkomt dat reguliere gebruikers onbeperkt GPU- of compute-resources kunnen provisioneren. Beveilig je cloud-credentials met multi-factor authenticatie en roteer API-sleutels regelmatig.

Patch je systemen tijdig. Cryptomining-malware maakt vaak gebruik van bekende kwetsbaarheden om systemen te compromitteren. Verouderde webservers, ongepatcht content management systemen en kwetsbaarheden in publiek toegankelijke applicaties zijn veelgebruikte initiële toegangsvectoren. Een structureel patchmanagement-proces vermindert het aanvalsoppervlak aanzienlijk.

Cryptomining in de praktijk

Een typisch scenario begint met een aanvaller die een kwetsbare webserver exploiteert en mining-software installeert. De miner is geconfigureerd om maximaal 40% van de CPU te gebruiken, waardoor de server merkbaar trager wordt maar niet volledig uitvalt. De beheerder schrijft de verminderde prestaties toe aan toenemend gebruik en schaalt de server op, wat de kosten verhoogt zonder het probleem op te lossen. Pas na weken of maanden, wanneer de onverklaarbaar verhoogde kosten worden onderzocht of een security scan wordt uitgevoerd, wordt de mining-malware ontdekt.

In cloudomgevingen kan het nog kostbaarder zijn. Er zijn gevallen bekend waarbij aanvallers via gestolen credentials honderden GPU-instances opstartten voor mining, resulterend in rekeningen van tienduizenden euro's binnen enkele dagen. Door budget-alerts, afwijkingsdetectie en strikt identiteitsbeheer kun je dit risico aanzienlijk beperken. De aanwezigheid van cryptomining-malware duidt bovendien op een gecompromitteerd systeem, wat betekent dat de aanvaller mogelijk ook andere kwaadaardige acties kan uitvoeren met dezelfde toegang.

Veelgestelde vragen over cryptomining

Wat is het verschil tussen cryptomining en cryptojacking?

Cryptomining is het legitieme proces van cryptocurrency-generatie met eigen hardware en elektriciteit. Cryptojacking is het ongeautoriseerd gebruiken van andermans systemen en resources voor mining. In cybersecurity-context verwijst cryptomining vrijwel altijd naar de kwaadaardige variant.

Hoe herken ik cryptomining op mijn systemen?

Onverklaarbaar hoog CPU- of GPU-gebruik, structureel trage systeemprestaties, verhoogd energieverbruik en onbekend uitgaand netwerkverkeer naar mining pools zijn de belangrijkste indicatoren. Gebruik procesmonitors en netwerkanalyse om verdachte activiteit te identificeren en te onderzoeken.

Is cryptomining-malware gevaarlijk voor mijn data?

Cryptomining-malware steelt doorgaans geen data direct, maar de aanwezigheid ervan duidt op een gecompromitteerd systeem. De aanvaller heeft toegang verkregen en kan dezelfde toegang gebruiken om data te stelen, ransomware te installeren of andere kwaadaardige acties uit te voeren.

Kan cryptomining hardware beschadigen?

Langdurig intensief gebruik door mining versnelt slijtage van processoren, grafische kaarten en koelsystemen. De verhoogde warmteproductie kan leiden tot thermische schade, vooral bij systemen die niet zijn ontworpen voor continue maximale belasting zoals laptops en compacte servers.

Hoe voorkom ik cryptojacking in de cloud?

Beveilig je credentials met multi-factor authenticatie, implementeer budget-alerts, gebruik cloud-native beveiligingstools voor afwijkingsdetectie, beperk de rechten van gebruikers om compute-instances te provisioneren, en monitor actief op onverwachte workloads en kostenstijgingen.

Meer weten over endpointbeveiliging? Bekijk Endpoint Detection & Response (EDR) aanbieders op IBgidsNL.