L’une des menaces de malware connaissant la croissance la plus rapide a touché un nombre considérable d’entreprises au cours des dix-huit derniers mois, et la plupart d’entre elles ne le savent même pas. Il s’agit d’une menace appelée cryptojacking, dont la popularité est principalement due à la hausse spectaculaire du prix du Bitcoin, et par extension d’autres cryptomonnaies, à la fin de l’année 2017. La plupart des victimes de cryptojacking ne sont pas conscientes de l’infection de leur propre système, car son activité n’est pas perturbatrice pour l’utilisateur : le malware ne fait que voler la puissance de calcul de votre processeur CPU et l’électricité consommée par celui-ci.
Les bases du minage de cryptomonnaies
Pour comprendre le fonctionnement du cryptojacking, il n’est pas nécessaire d’entrer dans trop d’explications ; il suffit de présenter les bases du minage de cryptomonnaies. Le minage de la plupart des cryptomonnaies implique de nombreux volontaires du monde entier qui tentent de résoudre un problème mathématique spécifique, exigeant en puissance de calcul, en échange d’une récompense pour le plus rapide d’entre eux. Le résultat est inscrit dans une base de données partagée des transactions, c’est-à-dire distribué à tous les participants, et le « mini-jeu » recommence. Pour le Bitcoin, chacun de ces mini-jeux dure en moyenne 10 minutes. La vérifiabilité publique de la validité et l’enchaînement mutuel des résultats assurent une vérification automatisée des transactions effectuées dans le système, de sorte qu’il n’est plus nécessaire de faire vérifier leur validité par une institution faisant autorité telle qu’une banque. L’ensemble du processus est appelé Proof-of-Work (PoW) et constitue une solution efficace au problème de double dépense, inhérent à toutes les monnaies numériques, ainsi que l’un des apports les plus précieux de la technologie blockchain.
Le minage de la plupart des cryptomonnaies, y compris le Bitcoin, utilise aujourd’hui du matériel optimisé à cet effet, capable de résoudre le problème donné plusieurs fois plus rapidement que les processeurs informatiques classiques, mais inadapté à presque toute autre utilisation. Il s’agit des puces ASIC, ou circuits intégrés destinés à des applications spécifiques.
Il existe toutefois aussi un certain nombre de cryptomonnaies dont le minage exige le calcul de problèmes mathématiques conçus pour résister aux types connus de puces ASIC et pour lesquels les GPU couramment disponibles, c’est-à-dire les cartes graphiques (et marginalement les CPU), sont plus efficaces. La raison de cette approche est la disponibilité mondiale étendue des GPU par rapport aux puces ASIC, dont la production n’est encore contrôlée que par un très petit groupe d’entreprises, principalement chinoises, avec des délais de livraison de plusieurs mois. Les développeurs tentent ainsi de rendre le processus de minage (vérification des transactions) accessible au plus grand nombre possible de personnes intéressées et de réduire la probabilité qu’un petit nombre d’acteurs puissants contrôle plus de 51 % de la puissance du réseau. Dans ce cas, ils pourraient exploiter le problème de double dépense déjà évoqué, c’est-à-dire renvoyer dans leur portefeuille de l’argent déjà dépensé, ce qui, outre un vol de fait, discréditerait l’utilité de la cryptomonnaie attaquée. Ces attaques à 51 % contre les cryptomonnaies PoW plus petites sont de plus en plus fréquentes.
Coinhive, ou une monétisation alternative du contenu web ?
Une conséquence involontaire de l’optimisation du minage pour les processeurs GPU et CPU courants est le phénomène du cryptojacking. Des développeurs astucieux ont en effet trouvé un moyen de diviser le problème mathématique dont la résolution constitue l’essence du minage en un grand nombre de petites parties et de les soumettre pour calcul à des milliers de processeurs CPU sur les ordinateurs des utilisateurs, par le biais d’applications pour Windows ou Linux, ou via un code JavaScript exécuté dans le navigateur de l’utilisateur et lancé par la page consultée. L’implémentation la plus connue et la plus répandue du minage de cryptomonnaies via les navigateurs Internet est devenue l’application Coinhive, qui se concentre sur le minage de la cryptomonnaie appelée Monero.
Mais partout où vous rencontrez du code Coinhive ou un service similaire, il ne se passe pas forcément quelque chose de malveillant : l’utilisation de l’application sur des sites web peut aussi constituer une manière tout à fait transparente et légitime, bien que marginale, de monétiser le contenu. Le célèbre magazine américain Salon.com l’a par exemple expérimentée. Outre la consultation avec abonnement sans publicité et la consultation gratuite avec publicités, il proposait également une troisième option : consulter sans publicité en échange d’un bref minage effectué par son propre ordinateur. Le script Coinhive est également utilisé par le célèbre portail pirate thepiratebay.org.
La réalité est que même les sites comptant cent mille visiteurs quotidiens ne gagnent que quelques couronnes via Coinhive et des services similaires. Salon.com a lui aussi mis fin à la monétisation par le minage de cryptomonnaies. Construire et gérer des botnets composés de sites et d’ordinateurs utilisateurs infectés n’est pas non plus deux fois plus lucratif. Cela s’explique d’une part par la chute de près de 90 % du prix de l’immense majorité des cryptomonnaies depuis l’année dernière, et d’autre part, surtout, par l’inadéquation relative des CPU des utilisateurs au minage de cryptomonnaies, comparés non seulement aux puces ASIC, mais aussi aux cartes GPU. Celles-ci ne peuvent toutefois pas être activées via JavaScript, donc pas non plus via un navigateur web, et ne peuvent donc pas encore être exploitées pour le cryptojacking.
En termes simples, le minage via navigateur offre peu de résultats pour un coût élevé. Cela décourage certes la plupart des personnes intéressées par une utilisation légitime, ainsi que certains hackers, mais il reste encore suffisamment de sites web et d’ordinateurs utilisateurs infectés par un script Coinhive modifié qui minent gratuitement pour les hackers à l’aide de machines tierces et d’électricité volée, même si ce n’est que par petites quantités.
Les hackers accèdent à votre système grâce à des techniques d’infiltration éprouvées telles que le phishing et l’attaque de l’homme du milieu. Les variantes les plus sophistiquées de malware de cryptojacking sont configurées pour ne s’exécuter que lorsque l’utilisateur est inactif, ou pour ne pas voler plus de 20 % de la puissance CPU, afin d’être plus difficiles à détecter. La plupart des utilisateurs attribueront probablement un léger ralentissement ou une occupation temporaire du processeur à la dernière mise à jour de l’OS, à un trop grand nombre de fenêtres ouvertes dans le navigateur ou à un matériel vieillissant.
Une menace cachée
Il est donc difficile à détecter et n’aura probablement pratiquement aucun impact sur la qualité de votre interaction avec l’ordinateur. Pourquoi parlons-nous alors du malware de cryptojacking ? Parce qu’il amène généralement avec lui dans les systèmes infectés des parents plus malveillants, tels que le ransomware. Sur les sites infectés et dans les liens d’e-mails de phishing, les deux malwares attendent aujourd’hui souvent avec un morceau de code qui vérifie d’abord l’état des autres protections de votre machine, puis détermine quel malware sera le plus avantageux à lancer.
Le fait que les ransomwares et les malwares de cryptojacking utilisent le même vecteur d’attaque apporte toutefois une bonne nouvelle : vous pouvez vous protéger contre les deux pratiquement de la même manière :
- Formez les utilisateurs aux vecteurs d’attaque de malware les plus courants
- Modifiez les paramètres par défaut des navigateurs et empêchez les sites web d’exécuter JavaScript
- Installez un logiciel antivirus pour terminaux capable de gérer les menaces les plus courantes et maintenez-le à jour
- Déployez une protection cyber basée sur l’intelligence artificielle, telle que Acronis Active Protection, qui reconnaît et arrête immédiatement les ransomwares et les attaques de cryptojacking – y compris les attaques utilisant des exploits zero-day, contre lesquels les antivirus classiques sont impuissants – avant qu’ils n’aient le temps de s’installer dans votre système.
Conclusion
Le cryptojacking en lui-même n’est donc pas quelque chose dont vous devriez trop vous inquiéter. L’ampleur du phénomène indique toutefois clairement qu’il existe encore de nombreux utilisateurs finaux et entreprises qui n’utilisent ni les mesures de sécurité de base ni des solutions modernes et efficaces telles que Acronis Active Protection.
Ne laissez pas vos fêtes de Noël être gâchées et essayez l’un de nos produits contenant Acronis Active Protection, ou téléchargez au moins gratuitement l’application autonome Acronis Ransomware Protection.
Source : https://www.acronis.cz/cryptojacking-taskarice-znacici-zavaznejsi-problemy/
Auteur de l’article: Rédaction ZEBR.ai
