Криптовалюты, как ключевое приложение технологии блокчейн, демонстрируют экспоненциальный рост и получают широкое распространение. Фундаментальным компонентом этой экосистемы является mining pool— коллектив майнеров, объединяющих вычислительные ресурсы для повышения вероятности получения вознаграждений за блоки, которые затем распределяются пропорционально. Хотя криптовалюты предлагают множество преимуществ, их псевдоанонимная и децентрализованная природа также способствует злонамеренной деятельности, такой как выплаты выкупа при ransomware-атаках и скрытые операции командования и управления (C2). В данной статье исследуется критическое пересечение пулов майнинга криптовалют и публичной облачной инфраструктуры с целью анализа их взаимосвязей, оценки уязвимостей безопасности и моделирования их базовой динамики.
Основная гипотеза заключается в том, что злоумышленники всё чаще используют ресурсы публичных облаков для майнинга криптовалют из-за их масштабируемости, гибкости и потенциала для злоупотреблений (например, через скомпрометированные инстансы). Этот сдвиг представляет собой конвергенцию современных тенденций в области вычислений и интересов злоумышленников, переход от отслеживаемых частных серверов к эфемерным, облачным фронтам атак.
Исследование использует пассивный, наблюдательный подход на основе данных сетевой разведки.
Основная методология включает анализ пассивные трассы системы доменных имен (pDNS)Данные pDNS предоставляют исторические записи DNS-запросов и разрешений, позволяя исследователям сопоставлять доменные имена с IP-адресами с течением времени и выявлять связи между объектами (например, доменами майнинг-пулов и диапазонами IP-адресов облачных провайдеров).
Данные были агрегированы из крупномасштабных наборов данных pDNS. Домены майнинг-пулов были идентифицированы с помощью общедоступных списков и источников блокчейн-разведки. IP-адреса, разрешенные из этих доменов, затем были сопоставлены с соответствующими номерами автономных систем (ASN) и организационными владельцами для выявления облачных сервис-провайдеров (CSP). Данные о репутации в области безопасности были перепроверены с помощью VirusTotal для оценки злонамеренных ассоциаций.
24
Обнаружены уникальные облачные провайдеры, связанные с майнинг-пулами.
~48%
Из ассоциаций, связанных с Amazon (AWS) и Google Cloud.
30-35%
Связанные конечные точки помечены как вредоносные на VirusTotal.
Анализ показал, что 24 различных публичных облачных провайдера имеют наблюдаемые связи с пулами для майнинга криптовалют через пути разрешения DNS. Рынок высококонцентрирован, при этом Amazon Web Services (AWS) и Google Cloud Platform (GCP) что составляет почти половину (48%) всех наблюдаемых связей. Это говорит о том, что майнеры и потенциально злоумышленники отдают предпочтение крупным, устоявшимся провайдерам, вероятно, из-за их обширной глобальной инфраструктуры, надежности и легкости смешивания с легитимным трафиком.
Распределение как присутствия облачных провайдеров, так и количества подключений (ассоциаций) к майнинг-пулам подчиняется распределению с тяжёлым хвостом, что характерно для безмасштабных сетей. Данная закономерность указывает на внутреннюю модель предпочтительного присоединенияпопулярные майнинговые пулы с большей вероятностью формируют новые ассоциации с крупными облачными провайдерами, и наоборот, что создает динамику "богатые становятся еще богаче". Это отражает модели роста, наблюдаемые в других технологических сетях, от социальных сетей до графов цитирования.
A significant security finding is the high rate of malicious association. Among the endpoints (IPs/domains) associated with the top two cloud providers (AWS & GCP), Положительный результат был выявлен в 30-35% случаев. как связанные со злонамеренной деятельностью на основе сканирований VirusTotal. Этот высокий процент подчеркивает, что облачный майнинг не является исключительно законной коммерческой деятельностью, а тесно переплетен с криптоджекингом, скомпрометированными ресурсами и другими формами киберпреступности. В статье также отмечается сдвиг в сторону майнинга Криптовалюты, связанные с Metaverse, что указывает на эволюцию мотиваций противоборствующих сторон.
Наблюдаемое предпочтительное присоединение может быть смоделировано математически. Пусть $G(t)$ — граф сети в момент времени $t$, где узлы представляют облачных провайдеров и майнинг-пулы, а рёбра — наблюдаемые ассоциации. Вероятность $\Pi(k_i)$ того, что новое соединение будет установлено с узлом $i$, пропорциональна его текущей степени $k_i$:
$$
Кроме того, риск безопасности $R_c$ для облачного провайдера $c$ можно концептуализировать как функцию от объема его ассоциаций $V_c$ и доли вредоносных ассоциаций $M_c$:
$$
График 1: Доля ассоциации облачных провайдеров. Круговая диаграмма или гистограмма визуально доминировали бы в анализе, показывая, что AWS и GCP в совокупности занимают ~48% доли ассоциации, за которыми следует длинный хвост других провайдеров (Microsoft Azure, Alibaba Cloud, DigitalOcean и т.д.), составляющих оставшиеся 52%.
График 2: Логарифмический график распределения степеней. Ключевым экспериментальным результатом является логарифмический график распределения степеней узлов. На графике будет изображена прямая линия с отрицательным наклоном, подтверждающая степенное, тяжелохвостое распределение $P(k) \sim k^{-\gamma}$. Этот график является прямым доказательством работы механизма предпочтительного присоединения.
График 3: Доля вредоносных конечных точек для ведущих провайдеров. Сгруппированная столбчатая диаграмма, сравнивающая AWS и GCP, показывает, что примерно 35% конечных точек, связанных с AWS, и 30% конечных точек, связанных с GCP, были помечены как вредоносные, что дает количественную оценку риска безопасности.
Кейс: Отслеживание предполагаемой операции криптоджекинга
Шаг 1 - Идентификация начальной точки: Начните с известного вредоносного бинарного файла майнера или домена из потока данных угроз (например, `malicious-miner-pool[.]xyz`).
Шаг 2 - Расширение pDNS: Запросите данные pDNS для всех IP-адресов (записи `A`), связанных с исходным доменом за последние 6 месяцев.
Шаг 3 - Определение облачного провайдера: Для каждого разрешенного IP-адреса выполните WHOIS-запрос и сопоставление ASN. Отфильтруйте диапазоны IP-адресов, принадлежащих крупным CSP (например, AWS `us-east-1`).
Шаг 4 - Построение графа: Смоделируйте данные как двудольный граф: один набор узлов — это домены пулов майнинга, другой — блоки IP-адресов CSP. Ребро существует, если домен разрешался в IP-адрес из этого блока.
Step 5 - Anomaly Detection & Risk Scoring:
Результат: Данная система способна выявлять не только отдельные вредоносные экземпляры, но и схемы злоупотреблений в облачной инфраструктуре, позволяя направлять целевые оповещения командам безопасности CSP о конкретных IP-блоках с высоким уровнем риска.
Proactive Threat Hunting for CSPs: Облачные провайдеры могут интегрировать аналогичный анализ pDNS в свои внутренние центры безопасности (SOC) для проактивного выявления и блокировки ресурсов, используемых для незаконного майнинга, что снижает уровень злоупотреблений и сохраняет инфраструктуру для законных клиентов.
Blockchain Analytics Integration: В будущих исследованиях следует объединить данные о транзакциях в блокчейне с внешней IP-аналитикой. Сопоставляя адреса для получения майнинговых вознаграждений с конечными точками пулов, размещенных в облаке, исследователи смогут отслеживать финансовые потоки доходов от криптоджекинга, используя методики, аналогичные применяемым компаниями Chainalysis и Elliptic.
3. Обнаружение на основе поведенческого анализа с использованием ИИ: Модели машинного обучения можно обучить на основе сетевых шаблонов и моделей потребления ресурсов (нагрузка на CPU/GPU, сетевой трафик к известным пулам) облачных инстансов для обнаружения майнингового вредоносного ПО в реальном времени, аналогично тому, как работают инструменты обнаружения и реагирования на конечных точках (EDR), но на уровне гипервизора.
4. Policy & Regulatory Implications: Данное исследование выявляет пробел в данных. Регуляторные органы могут рассмотреть требование к поставщикам облачных услуг (CSPs) предоставлять агрегированные показатели по трафику, связанному с майнингом криптовалют, подобно отчетам о финансовых операциях, чтобы повысить прозрачность экосистемы и противодействовать незаконному финансированию, как это предлагается в рамках Financial Action Task Force (FATF).
5. Исследование активов следующего поколения: Как отмечалось, происходит переход к валютам метавселенных. Будущие исследования должны расширить анализ на майнинговые пулы для приватных монет (например, Monero, Zcash) и новые активы на основе Proof-of-Work, связанные с виртуальными мирами и децентрализованными сетями физической инфраструктуры (DePIN).
Ключевая идея
Эта статья не просто о криптомайнинге в облаке; это разоблачение того, как сама архитектура современных вычислений — централизованная, масштабируемая и предоставляемая по требованию — была использована для поддержки децентрализованной, ресурсоемкой блокчейн-экономики, часто со злым умыслом. Обнаружение того, что почти половина наблюдаемой активности проходит через AWS и Google Cloud, является самым убедительным на сегодня доказательством того, что «нейтральность облака» — это миф в условиях противостояния. Крупные CSP неосознанно, но непропорционально сильно служат основой как для легальных, так и для незаконных майнинговых операций. Это создает огромную асимметрию: защитники должны обезопасить огромную, общую поверхность атаки, в то время как злоумышленники пользуются гибкостью и анонимностью временных облачных ресурсов.
Логическая последовательность
Логика авторов убедительна и методологически обоснована. Они исходят из прочной предпосылки: сближение внедрения облачных технологий и распространения криптовалюты является естественной мишенью для злоупотреблений. Использование pDNS в качестве базовой линзы — умный ход; это пассивный, глобальный источник достоверных данных, который обходит необходимость в навязчивом мониторинге конечных точек. Переход от простого подсчета ассоциаций к выявлению распределений с тяжелыми хвостами — это тот момент, когда анализ выходит за рамки простого измерения. Привлекая модель предпочтительного присоединения Барабаши-Альберта, они переходят от «что» к «почему», утверждая, что сеть облачного майнинга не случайна, а следует предсказуемым, самоподкрепляющимся моделям роста. Это аналогично тому, как развивались социальные сети или сама Всемирная паутина. Финальный скачок к оценке рисков безопасности, количественно определенных через VirusTotal, связывает абстрактную сетевую модель с конкретной, пригодной к действию разведывательной информацией об угрозах.
Strengths & Flaws
Сильные стороны: Основным достоинством статьи является её data-driven, empirical approachОн избегает спекуляций, обосновывая каждое утверждение наблюдаемыми данными pDNS. Использование устоявшихся принципов сетевой науки (безмасштабные сети) добавляет значительный теоретический вес. Акцент на Metaverse currencies является прозорливым, показывая, что исследование отслеживает передовой край враждебных инноваций, а не только исторические угрозы, такие как майнинг Bitcoin.
Критические недостатки: Однако анализ имеет существенные пробелы. Во-первых, он по своей природе ретроспективенpDNS показывает, откуда исходили атаки были, а не где они находятся или будет. Sophisticated actors using fast-flux DNS or direct IP connections can evade this. Second, the Утверждение о причинно-следственной связи слабое.. Ассоциация в pDNS не доказывает, что облачный инстанс был использован для майнинг; это может быть доброкачественная служба, взаимодействующая с пулом, или скомпрометированный веб-сайт со скриптом майнера. Работа может выиграть от использования методов, подобных примененным в работе Zhu et al. CycleGAN — использование состязательной валидации для лучшего различения законных и вредоносных шаблонов ассоциаций. Наконец, экономический драйвер недостаточно исследован. Простая модель, сравнивающая стоимость облачного инстанса с доходностью от криптовалюты, могла бы убедительно объяснить рентабельность инвестиций (ROI) противника и предсказать, какие облачные регионы или типы инстансов будут атакованы следующими.
Практические рекомендации
Для групп безопасности CSP: Внедрите обнаружение аномалий на основе графов на ваших собственных внутренних DNS-логах. Отмечайте клиентов, чьи экземпляры показывают быстрое последовательное разрешение на разнообразный набор известных доменов майнинг-пулов — признак автоматизированных инструментов развертывания. Отдавайте приоритет исследованию ресурсов в регионах с самым дешевыми вычислительными мощностями (например, AWS spot instances).
Для компаний, занимающихся сбором разведданных об угрозах: Интегрируйте этот слой атрибуции облачных ресурсов в свои потоки данных о криптоджекинге. Не просто сообщайте о вредоносном домене; сообщайте, что он размещен на определенном IP-блоке конкретного CSP, что позволяет осуществлять более точное и быстрое удаление через прямые каналы взаимодействия с провайдером.
For Regulators & Policymakers: Mandate Отчетность о прозрачности. По аналогии с прецедентом, установленным FATF Travel Rule для VASP, рассмотрите возможность требования от крупных CSP предоставлять агрегированные, анонимизированные данные о моделях потребления вычислительных ресурсов, указывающих на майнинг. Это создает макроуровневую картину проблемы без нарушения конфиденциальности пользователей.
В заключение, Adeniran и Mohaisen предоставили важнейшую карту скрытого поля битвы. Облако больше не просто утилита; это стратегический ресурс в криптовойнах. Следующий этап исследований должен перейти от картирования к прогнозированию и упреждению, используя аналитику потоковых данных в реальном времени и экономическое моделирование, чтобы опередить противников, которые уже используют сильные стороны облака против его владельцев.