Un payload simile a un miner è malware, o presunto malware, che si comporta come software per il mining di criptovalute. I team di sicurezza usano questo termine quando un payload consuma risorse insolite della CPU o della GPU, esegue processi persistenti in background o si connette a infrastrutture legate al mining. In alcuni casi, l'obiettivo esatto non è confermato, quindi l'etichetta descrive il comportamento osservato piuttosto che un'operazione di mining dimostrata.
Questo è importante perché i payload di mining vengono spesso usati per abusi opportunistici dopo un'intrusione: monetizzano l'accesso senza compromettere immediatamente i sistemi, ma possono comunque degradare le prestazioni, aumentare i costi e rivelare una compromissione più profonda. I difensori cercano un uso elevato e prolungato delle risorse, processi figlio imprevisti, binari sconosciuti e connessioni in uscita verso server simili a pool. Bloccare l'esecuzione, limitare i privilegi e monitorare attività anomale di processi e rete sono modi comuni per individuare o fermare questo tipo di payload.