Mineros de criptomonedas en servidores

Un minero no toca los datos del negocio. Lo que se lleva es capacidad de cómputo, y la factura la paga el dueño del servidor: más electricidad, más calor, una aplicación más lenta y, en la nube, una cuenta mayor. Por eso suele pasar semanas sin que nadie lo note: no hay archivos cifrados ni una alerta de fuga.

Su huella está en tres sitios. El uso de CPU: sostenido y alto, a horas en las que el servidor casi no se usa. Las conexiones: una salida a un servidor externo que se mantiene abierta. Y el propio proceso: casi siempre con un nombre que imita a algo del sistema y lanzado desde un directorio donde no vive nada legítimo.

Un consumidor de CPU sospechoso se identifica con tres preguntas: cuánto, de quién y desde dónde. Abre la consola y pide los procesos ordenados por uso. Observa el dueño del que más consume: en un servidor de base de datos, la cuenta esperable es la del servicio de la base, no la de otro servicio.

Un minero necesita hablar con un servidor externo para recibir trabajo y entregar resultados. Es una conexión de larga duración, a un destino y a un puerto fijos. En un servidor de base de datos, una conexión saliente a internet sostenida ya sería rara por sí sola. Los destinos y puertos de la conexión son indicadores de red.

Una sola muestra alta no es nada: un trabajo pesado puede disparar la CPU un minuto. Lo que delata al minero es la sostenibilidad. Por eso se mide: de todas las muestras del periodo, cuántas pasan de un umbral. El resultado se anota en el informe como evidencia de comportamiento, con la ventana y las horas.

Consulta las muestras del proceso sospechoso y cuenta cuántas están por encima del 90 % de CPU.

Cuando aparece un minero, la tentación es matar el proceso y borrar el archivo. Antes de eso hay dos preguntas: quién autoriza actuar sobre ese servidor, y qué hay que conservar. La cuenta con que corre el proceso puede estar comprometida, y el minero casi siempre es la señal de que alguien entró. Si se borra todo, se pierde el rastro de cómo llegó y de qué más hizo.