Cryptojacking (piratage cryptographique) 🔴 Attaque

Le cryptojacking, aussi appelé piratage cryptographique, est une forme de cyberattaque insidieuse et de plus en plus répandue. Elle consiste pour des cybercriminels à exploiter secrètement les ressources informatiques (processeur CPU, carte graphique GPU, mémoire vive RAM, bande passante, et par conséquent l’énergie électrique) de victimes, sans leur consentement et à leur insu, afin de générer des cryptomonnaies (telles que Bitcoin, Monero, Ethereum, ou d’autres devises numériques).

Contrairement à d’autres cyberattaques plus directes et visibles comme les ransomwares, le cryptojacking se distingue par sa furtivité. L’objectif des pirates n’est pas de paralyser le système de la victime, mais de le monétiser discrètement en utilisant sa puissance de calcul pour le minage de cryptomonnaies. Cette activité illégale permet aux attaquants de générer des revenus potentiellement importants sans avoir à supporter les coûts significatifs associés au minage légitime (achat de matériel spécialisé, consommation électrique élevée, etc.).

---

📓 Caractéristiques du cryptojacking

 

1. Furtivité et discrétion : le cryptojacking est conçu pour opérer en arrière-plan, minimisant les signes visibles afin d’éviter la détection le plus longtemps possible. Les pirates cherchent à maximiser la durée de l’infection pour optimiser leurs profits.
2. Large spectre de cibles : aucun système connecté n’est à l’abri. Les cibles potentielles sont extrêmement variées et comprennent :
   • Particuliers : ordinateurs personnels, smartphones, tablettes.
   • Entreprises de toutes tailles : postes de travail des employés, serveurs d’entreprise, infrastructures IT.
   • Fournisseurs de services cloud : serveurs cloud, instances virtuelles (en raison de la puissance de calcul concentrée et souvent sous-sécurisée).
   • Objets connectés (IoT) : caméras de surveillance, routeurs, appareils domotiques (souvent négligés en termes de sécurité).
   • Infrastructures critiques : systèmes de contrôle industriels, réseaux énergétiques, potentiellement des systèmes de santé (bien que moins fréquemment ciblés, le risque existe).
3. Rentabilité pour les attaquants, risque Faible : le cryptojacking est perçu comme une activité cybercriminelle relativement peu risquée pour les attaquants, car elle est moins visible que d’autres types d’attaques et peut générer des revenus passifs continus tant que l’infection n’est pas détectée. Le coût pour lancer une campagne de cryptojacking est également relativement faible.

---

🦟 Vecteurs d’infection

 

1. Scripts web (Drive-by Mining) : code JavaScript malveillant injecté dans des sites web compromis, des plateformes publicitaires en ligne, ou directement dans des publicités malveillantes (malvertising). Lorsqu’un utilisateur visite le site ou que la publicité s’affiche dans son navigateur, le script s’exécute et commence à miner des cryptomonnaies directement via le navigateur web de la victime, sans installation de logiciel. Coinhive est l’exemple emblématique de cette technique.
2. Malwares (logiciels malveillants) : logiciels cryptojacking plus persistants et sophistiqués, diffusés par les méthodes classiques :
   • Phishing et ingénierie sociale : e-mails frauduleux incitant les victimes à télécharger des pièces jointes infectées ou à cliquer sur des liens malveillants.
   • Pièces jointes corrompues : documents, images, ou fichiers exécutables piégés.
   • Applications piratées ou compromises : logiciels téléchargés illégalement ou versions modifiées d’applications légitimes contenant un mineur caché.
   • Vulnérabilités logicielles : exploitation de failles de sécurité dans des systèmes d’exploitation ou des applications non mises à jour (serveurs non patchés, logiciels obsolètes).
3. Environnements conteneurisés (Docker/Kubernetes) : configurations non sécurisées de conteneurs Docker ou d’orchestrateurs Kubernetes dans les environnements cloud. Des images conteneurisées malveillantes peuvent être diffusées sur des registres publics comme Docker Hub ou des configurations vulnérables peuvent permettre l’intrusion et l’installation de mineurs dans des conteneurs.
4. Extensions de navigateurs malveillantes : extensions qui semblent légitimes, mais qui contiennent un mineur de cryptomonnaie caché et s’activent à l’insu de l’utilisateur.

---

 Fonctionnement du cryptojacking

 

1. Infection :
   • Exécution du script ou du malware : le script JavaScript web s’active lors de la visite d’une page compromise. Le malware est exécuté après téléchargement et installation (souvent de manière cachée). Des exemples de malwares cryptojacking connus incluent CoinMiner, PowerGhost, XMRig, et Lemon_Duck.
   • Exploitation de vulnérabilités : les attaquants peuvent scanner le réseau à la recherche de serveurs ou de systèmes avec des vulnérabilités connues non corrigées (absence de patchs de sécurité) ou des ports exposés (services accessibles depuis l’internet non protégés) pour y installer un mineur.
2. Minage clandestin :
   • Utilisation Intensive des ressources : une fois installé, le mineur utilise la puissance de calcul du CPU (processeur) et/ou du GPU (carte graphique) de la victime pour résoudre des algorithmes complexes de preuve de travail (Proof of Work), nécessaires à la validation des transactions et à la création de nouveaux blocs dans la blockchain de la cryptomonnaie ciblée.
   • Cryptomonnaies anonymes favorisées : les cryptomonnaies minées sont souvent celles qui offrent un meilleur anonymat et une traçabilité plus difficile, comme Monero (XMR), mais d’autres comme Zcash ou Ethereum Classic peuvent également être ciblées.
   • Transfert des gains vers le portefeuille de l’attaquant : les cryptomonnaies générées sont automatiquement envoyées vers le portefeuille numérique (wallet) contrôlé par le cybercriminel.
3. Persistance et évasion :

• • Masquage des processus : les mineurs tentent de se dissimuler pour ne pas être détectés par l’utilisateur ou les outils de sécurité. Ils peuvent utiliser des techniques de rootkit pour masquer leurs processus en cours d’exécution.
  • Désactivation des sécurités : certains malwares cryptojacking peuvent tenter de désactiver ou de contourner les outils de sécurité présents sur le système de la victime (antivirus, pare-feu, etc.).
  • Propagation latérale : dans les réseaux d’entreprise, les mineurs peuvent tenter de se propager latéralement à d’autres machines vulnérables, augmentant ainsi la puissance de calcul totale à disposition des attaquants.

---

💥 Conséquences du cryptojacking

 

1. Ralentissement et instabilité des systèmes :
   • Surchauffe des appareils : l’utilisation intensive du CPU/GPU génère une chaleur excessive, pouvant endommager les composants à long terme et causer des plantages.
   • Latence et lenteur : les applications et le système d’exploitation deviennent lents et peu réactifs, rendant l’appareil difficile à utiliser.
   • Blocages et plantages : dans les cas extrêmes, le système peut devenir instable et se bloquer.
2. Augmentation des coûts énergétiques :
   • Factures d’électricité accrues : la consommation énergétique explose en raison de l’activité de minage constante, impactant significativement les factures d’électricité, surtout dans les environnements professionnels (datacenters, entreprises).
   • Impact environnemental : le cryptojacking contribue à une augmentation de l’empreinte carbone due à la consommation d’énergie inutile.
3. Usure matérielle prématurée :
   • Réduction de la durée de vie des composants : la surchauffe et l’utilisation intensive du CPU/GPU accélèrent l’usure des composants électroniques, réduisant leur durée de vie et pouvant nécessiter un remplacement plus fréquent du matériel.
4. Risques juridiques potentiels :
5. • Responsabilité pénale indirecte : bien que la victime soit elle-même piratée, l’adresse IP de sa connexion internet peut être associée à une activité illégale (minage de cryptomonnaies), ce qui pourrait potentiellement poser des problèmes juridiques, notamment en cas d’enquête

 

---

👉 Exemples célèbres

 

• Coinhive (2017-2019) : le script JavaScript Coinhive est devenu tristement célèbre. Il était intégré dans des sites web légitimes (parfois à l’insu des propriétaires) ou des sites piratés. Lorsqu’un visiteur ouvrait la page, le script minait du Monero via son navigateur. Bien que Coinhive se présentait comme une solution de monétisation alternative pour les sites web, son utilisation s’est largement répandue dans un contexte de cryptojacking.
• Smominru : un botnet (réseau de machines zombies) massif qui a infecté plus de 500 000 machines Windows à travers le monde, principalement des serveurs, pour miner des cryptomonnaies.
• Attaques via Docker Hub : des images conteneurisées malveillantes contenant des mineurs ont été diffusées sur la plateforme de partage d’images Docker Hub, piégeant les développeurs et les entreprises qui les utilisaient sans vérification.
• Cryptojacking sur des serveurs Microsoft Exchange : des vulnérabilités dans les serveurs Microsoft Exchange ont été exploitées pour installer des mineurs sur des milliers de serveurs à travers le monde.

---

🔎 Détection et protection