Cryptojacking, Tanda Server Diam-diam Dipakai Menambang

Cryptojacking adalah saat penyerang memakai CPU servermu, tanpa izin, untuk menambang mata uang kripto bagi dirinya sendiri. Tanda paling umum: pemakaian CPU terus tinggi mendekati penuh padahal tidak ada kenaikan pengunjung, website jadi lambat, dan tagihan cloud atau peringatan dari penyedia server tiba-tiba datang.

Ini penting karena cryptojacking jarang berdiri sendiri. Kalau penyerang bisa memasang program penambang, artinya ia sudah punya akses menjalankan perintah di servermu. Hari ini yang dipasang penambang, besok bisa saja pencuri data atau ransomware. CISA, badan keamanan siber Amerika Serikat, juga menekankan bahwa penambangan ilegal menandakan sistem yang sudah disusupi.

Kenapa server jadi incaran penambang ilegal?

Penambang butuh tenaga komputasi dan listrik. Dengan memakai server orang lain, penyerang mendapat keuntungan tanpa menanggung biayanya. Server Linux yang menyala 24 jam dengan IP publik adalah sasaran yang ideal.

Mata uang yang sering ditambang lewat cara ini adalah yang masih bisa ditambang dengan CPU biasa, misalnya Monero. Program penambang open-source seperti XMRig sering disalahgunakan, kadang diganti nama supaya terlihat seperti proses sistem.

Jalur masuknya biasanya salah satu dari ini:

• Password SSH lemah yang berhasil ditebak bot brute force.
• Aplikasi web dengan celah yang belum ditambal, misalnya CMS atau plugin lama.
• Layanan yang terbuka ke internet tanpa autentikasi, seperti Docker API, Redis, atau panel admin.
• Kredensial cloud atau API key yang bocor di repositori kode.

Tanda-tanda server sedang dipakai menambang

Satu tanda belum tentu cryptojacking. Perhatikan bila beberapa muncul bersamaan.

Kalau CPU tinggi tapi kamu belum yakin penyebabnya, panduan menemukan proses yang menghabiskan CPU membantu membedakan beban wajar dari proses asing.

Bagaimana memeriksanya lebih dalam?

Beberapa pemeriksaan tambahan yang berguna, dijalankan sebagai root:

• Lihat lokasi file program yang berjalan. Perintah ls -la /proc/<PID>/exe menunjukkan file asli sebuah proses. Bila mengarah ke /tmp, /var/tmp, /dev/shm, atau keterangan (deleted), itu sangat mencurigakan.
• Periksa layanan systemd baru. systemctl list-units --type=service --state=running lalu cari nama yang tidak kamu kenal. Periksa juga isi /etc/systemd/system/.
• Cek kunci SSH. Buka ~/.ssh/authorized_keys untuk root dan user lain. Penyerang sering menambahkan kunci miliknya agar bisa kembali.
• Baca log login. Di Ubuntu dan Debian, log autentikasi ada di /var/log/auth.log, sedangkan di keluarga RHEL seperti AlmaLinux ada di /var/log/secure. Cari login sukses dari IP asing.

Langkah membersihkan server

1. Isolasi dan dokumentasikan. Catat proses, koneksi, dan file mencurigakan sebelum menghapus apa pun. Ambil snapshot server bila penyedia menyediakannya, supaya bisa diperiksa nanti.
2. Ganti semua kredensial. Password root dan user, kunci SSH, password database, dan API key yang tersimpan di server.
3. Hapus mekanisme bertahan. Cron, layanan systemd, kunci SSH asing, dan file penambang.
4. Tambal jalur masuk. Update sistem dan aplikasi, tutup port yang tidak perlu, matikan login password SSH.
5. Pertimbangkan pasang ulang. Bila tidak yakin semua jejak sudah bersih, cara paling aman adalah membangun server baru dari nol lalu memulihkan data dari backup yang dibuat sebelum penyusupan.

Langkah pengamanan dasar untuk server baru, seperti SSH key dan firewall, dirangkum di cara mengamankan VPS Linux baru.

Apakah cryptojacking juga terjadi di browser pengunjung?

Ya, ada varian yang menyisipkan skrip penambang ke halaman website, sehingga CPU pengunjung yang dipakai. Bila website-mu disusupi dengan cara ini, gejalanya bukan di server, tapi keluhan pengunjung bahwa perangkat mereka panas atau lambat saat membuka situsmu. Periksa skrip asing di tema, plugin, atau tag pihak ketiga.

Bagaimana dengan server yang menjalankan Docker?

Di server dengan container, penambang bisa berjalan di dalam container yang dibuat penyerang, misalnya lewat Docker API yang terbuka tanpa autentikasi. Gejalanya sama, CPU tinggi, tapi prosesnya mungkin tidak langsung terlihat sebagai layanan host. Jalankan docker ps -a untuk melihat container yang tidak kamu kenal, dan docker stats untuk melihat container mana yang memakan CPU. Periksa juga image yang baru diunduh dengan docker images. Container asing sebaiknya didokumentasikan dulu, lalu dihentikan dan dihapus bersama image-nya. Setelah itu pastikan Docker API tidak lagi bisa diakses dari luar, seperti dibahas di cara mengamankan Docker di VPS.

Bagaimana mencegahnya terulang?

Pencegahan efektif biasanya sederhana tapi harus konsisten:

• Pakai SSH key, nonaktifkan login root dan password.
• Aktifkan update keamanan otomatis.
• Jangan pernah membuka Docker API, Redis, atau database langsung ke internet.
• Pasang pemantauan CPU dengan peringatan. Lonjakan yang bertahan berjam-jam akan cepat ketahuan.
• Simpan API key di tempat aman, bukan di repositori kode.

Pemantauan metrik membuat cryptojacking yang tadinya bisa berjalan berminggu-minggu ketahuan dalam hitungan jam.