Online Geld zu verdienen kann über viele verschiedene Arten erfolgen: Eine relativ neue Art ist dabei das "Cryptocurrency-Mining". Cryptocurrencies sind Crypto-Währungen, wie z.B. BitCoin. Diese werden durch die Berechnung bestimmter Rechenaufgaben berechnet. Die Marktkapitalisierung von BitCoin beträgt aktuell ca. 165 Mrd Euro (Quelle: https://coinmarketcap.com/de/currencies/bitcoin/, abgerufen am 20.09.2019).
Normalerweise werden zur Berechnung der Cryptocurrencies spezialisierte Computer in Rechenzentren verwendet, die dort betrieben werden, wo Strom besonders preiswert ist. Doch aufgrund des hohen Stromverbrauchs kommt es immer häufiger zu staatlichen Verboten des Betriebs solcher Rechenzentren, z.B. im Iran (https://www.heise.de/newsticker/meldung/Bitcoin-Iran-schliesst-Mining-Farmen-4458195.html) oder in China (https://www.heise.de/newsticker/meldung/Chinas-Bitcoin-Ausstieg-600-Miner-beschlagnahmt-4036849.html). Aber auch die Anwendung von Kapitalverkehrskontrollen führt in bestimmten Staaten zu Verboten von Crypto-Mining. Insofern ist der technische Ansatz des verteilten Berechnens eine Reaktion auf diese "Restriktionen".
Aktuell findet das Mining neuerdings auch in Form von Crypt-Trojanern statt. Crypt-Trojaner sind Schadprogramme, die auf illegale Weise in die Computer von deren Opfer geschmuggelt werden dort verteilt entsprechende Crypto-Berechnungen durchführen. Ein bekannter Vertreter dieser Spezies ist das Programm "GhostMiner". Daneben sind aber auch andere Programme, wie z.B. Mykings , PowerGhost , PCASTLE and BULEHERO zu nennen.
"GhostMiner" fiel den Forschern von TrendMicro jetzt dadurch auf , dass dieser inzwischen die Ellenbogen ausfährt und andere Miner, die er auf den betroffenen Systemen entdeckt, deaktiviert ("Es kann nur einen geben"). Aus Computerforensischer Sicht ist als Besonderheit noch zu nennen, dass GhosterMiner als Dateiloses Programm daher kommt, d.h. bei einer "gewöhnlichen" forensischen Post Mortem Untersuchung wird es keine Dateispuren in dem System zu finden geben. Um derartige Programme dennoch nachzuweisen, muss dazu auch der Arbeitsspeicher der betroffenen Systeme zur Untersuchung zur Verfügung stehen.
In diesem Artikel auf dem Trend Micro Blog ist relativ genau beschrieben, wie eine Infektion von statten geht.
Der EDV Sachverständige Brock meint: Bleiben Sie sauber!
