Qu'est-ce que le cryptojacking?

Le cryptojacking est une cybermenace qui consiste à miner des cryptomonnaies sans autorisation au détriment d'individus ou d'organisations sans méfiance. Les activités de cryptojacking peuvent rester indétectables pendant des périodes prolongées, ce qui permet aux attaquants d'accéder en permanence à des informations confidentielles. matériel sans encourir de frais.

Quelle est la signification du cryptojacking ?

Le cryptojacking fait référence à l'utilisation non autorisée de ressources informatiques pour exploiter des devises numériques telles que Monero, Ethereum ou d'autres cryptomonnaies axées sur la confidentialité. Les attaquants intègrent des scripts or malware développement sites Internet, applications, ou fichiers, victimes de détournement d'avion Processeur or GPU pouvoir résoudre des énigmes cryptographiques et gagner des pièces numériques. La dégradation des performances, la consommation d'énergie élevée et la surchauffe du système sont des conséquences fréquentes.

Le cryptojacking est une tactique attrayante pour les cybercriminels, car le minage de cryptomonnaies classique nécessite des dépenses d'infrastructure importantes, allant du matériel spécialisé (ASIC ou GPU) à la consommation d'énergie. En s'appuyant sur des hôtes peu méfiants, les cryptojackers évitent entièrement ces coûts, déchargeant à la fois l'équipement et les factures de services publics sur la victime.

Le cryptojacking est-il illégal ?

Le cryptojacking est illégal dans la plupart des juridictions car il repose sur l'exploitation non consensuelle des ressources informatiques. Les législateurs comparent le cryptojacking au déploiement de logiciels malveillants, à l'accès non autorisé au système ou à la fraude informatique. Les cybercriminels Les personnes qui participent au cryptojacking sont passibles de poursuites judiciaires en vertu de lois régissant l'accès illégal, la modification non autorisée de données et le vol de services informatiques. Les sanctions varient en fonction des réglementations régionales, mais les contrevenants sont souvent confrontés à des amendes importantes, à la saisie de leurs biens ou à une peine d'emprisonnement.

Les forces de l’ordre surveillent les campagnes de cryptojacking en collaborant avec des fournisseurs de cybersécurité. Les preuves techniques, telles que les signatures numériques de logiciels malveillants de cryptominage, les enregistrements de domaines pour les pools de minage ou les données provenant d’infrastructures compromises, aident les autorités à identifier les individus ou les groupes orchestrant des attaques à grande échelle.

La nature mondiale des cryptomonnaies rend leur application et leur attribution difficiles, mais les groupes de travail internationaux sur la cybercriminalité continuent d'affiner leurs approches pour traiter les incidents de cryptojacking.

Comment fonctionne le cryptojacking ?

Voici les méthodes les plus courantes utilisées par les cybercriminels pour lancer le cryptojacking :

• Infections MalwareLes attaquants regroupent souvent les charges utiles de cryptominage avec Trojan des droppers, des exécutables malveillants ou des mises à jour de logiciels contrefaites. Les victimes lancent involontairement ces packages, déclenchant ainsi un minage de crypto-monnaie en arrière-plan. Certaines souches persistent en modifiant les registres système, en injectant des scripts de démarrage ou en désactivant les processus de sécurité pour garantir un minage ininterrompu.
• Scripts basés sur un navigateur. navigateur WebLe cryptojacking basé sur des attaques de type JavaScript des extraits intégrés sur des sites Web compromis ou via des publicités malveillantes (malvertising). Le code commence immédiatement à être exploité une fois que le navigateur de l'utilisateur charge la page Web, consommant des ressources CPU jusqu'à ce que l'utilisateur quitte la page ou ferme l'onglet. Les variantes persistantes peuvent générer des fenêtres contextuelles qui continuent de fonctionner même après la fermeture de l'onglet principal.
• Pilotez par les téléchargementsLes téléchargements intempestifs impliquent des téléchargements non planifiés lorsque les utilisateurs visitent des sites Web infectés ou cliquent sur des fenêtres contextuelles trompeuses. Les attaquants exploitent des plugins de navigateur obsolètes, non corrigés systèmes de gestion de contenu, ou des paramètres de navigateur non sécurisés pour lancer des téléchargements de fichiers contenant des modules de cryptomining.
• Exploits et vulnérabilitésExploite les failles du système cible ou du réseau, telles que les SMB faibles (server bloc de messages) configurations ou non corrigées systèmes d'exploitationLes attaquants exploitent des vulnérabilités connues comme EternalBlue ou BlueKeep pour exécuter du code de cryptomining à distance et le propager automatiquement sur les réseaux d'entreprise ou data centers.
• Campagnes de phishing et de courrier électronique. L'hameçonnage Les attaques de cryptojacking diffusent des logiciels malveillants en persuadant les individus de cliquer sur des liens malveillants ou d'ouvrir des pièces jointes infectées. Les attaquants se font souvent passer pour des marques réputées ou des parties de confiance, incitant les destinataires à déclencher par inadvertance la charge utile de cryptominage.

Types de cryptojacking

Il existe plusieurs méthodes de cryptojacking, chacune exploitant différentes méthodes de distribution, de persistance et de consommation de ressources.

Cryptojacking basé sur des fichiers

Cette méthode repose sur le déploiement de fichiers malveillants traditionnels sur le système d'une victime. Voici les caractéristiques du cryptojacking basé sur des fichiers :

• Exécutables malveillants. Les attaquants encapsulent les composants de cryptominage dans des programmes d'installation trompeurs ou des mises à jour de logiciels trojanisées.
• Mécanismes de persistance. Le logiciel malveillant peut configurer des tâches planifiées, modifier les entrées de registre ou altérer les scripts de démarrage pour se relancer automatiquement.
• Techniques d'obscurcissement. Des techniques telles que le packaging de code ou chiffrement masquer les fonctions minières, empêchant une détection rapide par les moteurs antivirus.
• Fonctionnalités de gestion des ressources. Certains logiciels malveillants ajustent l'intensité de l'exploitation minière temps réel pour éviter de générer des alertes ou un ralentissement notable des performances.

Cryptojacking basé sur un navigateur

Le cryptojacking basé sur un navigateur exploite principalement les technologies de script Web pour exploiter la puissance de calcul. Voici en quoi cette méthode diffère des méthodes basées sur des fichiers :

• Aucune installation directe. Les attaquants n'ont pas besoin d'installer de fichiers sur la machine de la victime. JavaScript s'exécute immédiatement lorsqu'un utilisateur visite une page infectée.
• Exécution à la volée. Le processus d'extraction s'arrête une fois l'onglet ou la fenêtre fermé, à moins que des scripts contextuels ou persistants spécialisés continuent de s'exécuter.
• Exigences en matière d’interaction utilisateur. Nécessite généralement que la victime accède à un site ou à une publicité compromis.
• Attribution contestable. Les scripts malveillants proviennent souvent de réseaux publicitaires tiers ou de fichiers cachés. iFrames, ce qui complique l’enquête sur la véritable source.

Cloud Cryptojacking

Cloud cibles du cryptojacking virtualisé environnements et exploite les pratiques de déploiement modernes. Voici un aperçu :

• Accès via des identifiants volés. Les attaquants se connectent à cloud plateformes utilisant des informations d'identification divulguées ou faibles, créant de grandes instances optimisées pour le cryptomining.
• Mauvaises configurations et comptes surprivilégiés. Mal gouverné gestion des identités et des accès permettre aux attaquants d'élever leurs privilèges et de générer des attaques illimitées conteneurs ou machines virtuelles.
• Impact financier élevé. L’organisation victime paie la facture de l’utilisation excessive des infrastructures.
• Persistance avancée. Certains attaquants intègrent des modifications au niveau du conteneur, des injections de scripts dans Images Docker, ou des cryptomineurs cachés dans des éphémères les charges de travail qui sont difficiles à détecter.

Cryptojacking de l'IoT

IdO Le cryptojacking capitalise sur la posture de sécurité généralement minimale et les ressources limitées des appareils connectés :

• Logiciel malveillant léger. Les attaquants développent des scripts de minage optimisés pour les puces basse consommation présentes dans les environnements IoT.
• Potentiel de botnet. De grands essaims d’appareils IoT infectés génèrent collectivement des revenus miniers à grande échelle.
• Contrôles de sécurité limités. Legacy protocoles, peu fréquents firmware les mises à jour et les informations d'identification par défaut laissent les appareils IoT exposés.
• Déploiement à long terme. Les cryptomineurs IoT restent souvent en fonctionnement jusqu'à une panne de l'appareil ou une mise à jour importante du micrologiciel, car les propriétaires surveillent rarement l'utilisation des ressources.

Exemples d'attaques de cryptojacking

Vous trouverez ci-dessous une liste d’incidents réels de cryptojacking qui illustrent comment les attaquants s’infiltrent dans les systèmes, manipulent les configurations et exploitent les ressources.

Le public de Tesla Cloud Cryptojacking

En 2018, des chercheurs en sécurité ont découvert que des attaquants avaient compromis l'environnement Amazon Web Services (AWS) de Tesla. Les attaquants ont infiltré une console d'administration non sécurisée et installé un logiciel de cryptomining sur une console mal configurée. Kubernetes Les mesures furtives comprenaient la dissimulation de l'adresse du pool minier derrière Cloudservices Flare, ce qui rend la détection plus difficile. Les ingénieurs de Tesla ont finalement remarqué une utilisation inhabituelle des ressources, ce qui a conduit à une enquête interne qui a révélé l'incident de cryptojacking.

Le mineur basé sur le navigateur The Pirate Bay

Le site d'indexation de torrents The Pirate Bay a été surpris à exécuter un script Coinhive qui exploitait la puissance du processeur des utilisateurs pour le minage de cryptomonnaies. Les opérateurs du site ont initialement mis en œuvre le script sans avertir les visiteurs, ce qui a suscité une vive opposition de la part de la communauté des utilisateurs concernant l'utilisation non annoncée des ressources. L'incident a suscité une large attention médiatique, déclenchant des débats sur la question de savoir si l'exécution de scripts de minage de cryptomonnaies pouvait servir d'alternative aux modèles traditionnels de publicité en ligne.

Publicités YouTube diffusant du code de cryptojacking

Début 2018, des publicités malveillantes diffusées sur YouTube comportaient des mineurs JavaScript cachés. Les attaquants achetaient des espaces publicitaires et dissimulaient des charges utiles de cryptominage dans des publicités apparemment anodines. Les spectateurs qui ont vu ces publicités ont constaté une augmentation de l'utilisation du processeur, ce qui indique que le code de cryptominage était exécuté dans leur navigateur. Les équipes de sécurité de Google ont finalement bloqué les publicités incriminées et supprimé les comptes d'annonceurs associés.

Cryptojacking via navigateur dans le Wi-Fi de Starbucks

En 2017, des clients d'un café Starbucks se sont plaints de pics soudains de performances du processeur lorsqu'ils étaient connectés au Wi-Fi gratuit du café. L'enquête a montré qu'un script malveillant avait été inséré dans le portail d'authentification du réseau, ce qui a amené les appareils des visiteurs à miner de la cryptomonnaie en arrière-plan. Le fournisseur d'accès Internet qui exploitait le point d'accès Starbucks a finalement supprimé le script après que des experts en sécurité ont rendu public le problème.

Comment détecter le cryptojacking ?

Voici les méthodes pour repérer les indicateurs de cryptojacking :

• Analyse des performances du système. Des périodes prolongées d'utilisation intensive du processeur ou du processeur graphique en dehors des heures de pointe sont des indices potentiels d'une activité de cryptomining. Les outils de surveillance automatisés, notamment les tableaux de bord de performances en temps réel, peuvent isoler les anomalies qui s'écartent des normes établies.
• Surveillance du trafic réseau. Le cryptojacking repose sur des connexions sortantes vers des pools miniers ou gérés par des attaquants. servers. Vous pouvez utiliser les journaux de flux réseau, systèmes de prévention des intrusionset des filtres de renseignement sur les menaces pour détecter les connexions suspectes. Des pics inhabituels DNS requêtes à des inconnus domaines ou les pools miniers sont de forts indicateurs d’activité de cryptojacking.
• Analyse des outils de sécurité. Les solutions de protection des terminaux incluent souvent des signatures dédiées ou des heuristiques adaptées aux logiciels malveillants de cryptomining. Des analyses antivirus régulières, basées sur l'hôte systèmes de détection d'intrusion Les plateformes de détection et de réponse aux points d'extrémité (HIDS) et de détection et de réponse aux points d'extrémité (EDR) permettent d'identifier les processus suspects. Des mises à jour fréquentes de ces outils sont nécessaires pour détecter les variantes émergentes de cryptojacking.
• Inspection du navigateur. Lorsque le cryptojacking est basé sur un navigateur, la vérification des onglets ouverts ou des consoles de développement fournit des preuves de scripts malveillants. Scripts non autorisés intégrés dans un site Web code source, une utilisation inhabituellement élevée du processeur liée à un onglet spécifique ou des extensions de navigateur avec des autorisations douteuses sont des indicateurs courants d'un script de cryptojacking.
• Corrélation des journaux et des événements. Solutions de gestion centralisée des journaux, telles que Plateformes SIEM, corréler les événements provenant de plusieurs sources (systèmes d'exploitation, appareils réseau et outils de sécurité). Les analystes qui appliquent des règles de corrélation axées sur les lancements de processus anormaux, les comptes d'utilisateurs nouvellement créés ou les tentatives de connexion infructueuses répétées peuvent découvrir des tentatives de cryptojacking.

Comment prévenir le cryptojacking ?

La prévention du cryptojacking nécessite un mélange de mises à jour logicielles, de gestion de la configuration et de formation des utilisateurs. Vous trouverez ci-dessous une introduction aux mesures essentielles qui renforcent les défenses contre les attaques de cryptomining.

1. Mettre en œuvre les mises à jour du logiciel et du micrologiciel

Les correctifs de sécurité et les mises à niveau du micrologiciel neutralisent les vulnérabilités exploitées par les cryptojackers. gestion des correctifs assure tous les environnements—sur place, cloud, ou mobile, restez à jour. Les systèmes obsolètes manquent de protection contre les exploits divulgués publiquement utilisés pour le déploiement du cryptojacking.

2. Utilisez des extensions de navigateur ou des bloqueurs de scripts

Blocage de script extensions, les modules complémentaires axés sur la confidentialité et les fonctionnalités intégrées du navigateur (comme la désactivation de JavaScript pour les sites non fiables) réduisent considérablement l'exposition. Les bloqueurs de publicités configurés pour bloquer le cryptomining connu URL atténuer davantage les attaques potentielles qui s’appuient sur des scripts publicitaires malveillants.

3. Renforcez les filtres de courrier électronique et Web

Filtrage avancé des e-mails, bac à sable Les pièces jointes et l'analyse des URL en temps réel bloquent les e-mails de phishing ou les liens vers des sites Web compromis. Les organisations adoptent souvent des solutions de filtrage DNS qui interceptent les tentatives de résolution de domaines malveillants, empêchant ainsi le chargement des sites de cryptojacking.

4. Améliorer la protection des terminaux

Antivirus de nouvelle génération et les solutions EDR offrent une analyse comportementale et une analyse de la mémoire pour les modèles de cryptomining. Certains produits limitent ou interrompent les processus qui présentent des caractéristiques cohérentes avec les cryptomineurs, comme une utilisation élevée continue du processeur sans rapport avec des opérations légitimes connues.

5. Garantir Cloud Environnements

Sécurisation cloud Les plateformes impliquent une forte gestion des identités et des accès (JE SUIS), segmentation du réseau, la sécurité des conteneurs et l’analyse de la charge de travail. Administrateurs système devrait intégrer des alertes d'utilisation des ressources qui informent les équipes des pics anormaux d'utilisation du processeur. La journalisation et la surveillance à grande échelle peuvent contrecarrer le cryptojacking dans Kubernetes ou Docker écosystèmes.

6. Former le personnel

Hameçonnage, ingénierie socialeLes pièces jointes malveillantes et les fichiers joints restent les principaux mécanismes de diffusion des programmes malveillants de cryptojacking. Des formations régulières en cybersécurité mettent en évidence les tactiques utilisées par les adversaires, en demandant aux employés d'examiner les sources de courrier électronique et d'éviter de cliquer sur des liens suspects ou d'activer des macros dans des fichiers inconnus.

Comment supprimer le cryptojacking ?

Voici comment neutraliser les infections de cryptojacking :

Identifier la source de l'infection

Utilisez les analyses système, les journaux réseau et les mesures de performances pour traquer les processus de cryptomining. Les enquêtes peuvent révéler des exécutables malveillants, des scripts ou des comptes d'utilisateurs suspects créés par des attaquants. L'identification des appareils patients-zéro vous aide à comprendre le processus initial vecteur d'attaque et contenir toute propagation ultérieure.

Mettre fin aux processus malveillants

Il est essentiel de mettre fin aux sessions de minage actives pour minimiser les dommages en cours. Isolez les machines infectées du réseau en interrompant les processus de cryptojacking à l'aide de commandes du système d'exploitation, de consoles de logiciels de sécurité ou de terminaisons de service manuelles. Le confinement immédiat permet d'empêcher les attaquants de contrôler les points de terminaison compromis.

Supprimer les fichiers ou scripts malveillants

Le cryptojacking basé sur des fichiers dépose souvent des exécutables ou des bibliothèques dynamiques dans des répertoires cachés. Localisez-les à l'aide d'outils d'analyse médico-légale, de recherches basées sur le hachage ou d'analyses antivirus. Une fois identifiés, supprimez ou mettez en quarantaine les objets malveillants. Le cryptojacking basé sur un navigateur peut nécessiter la désinstallation d'extensions, la suppression de fichiers malveillants et la suppression de fichiers malveillants. caches, ou supprimer le code injecté des modèles de site.

Reconstruire ou restaurer les systèmes compromis

La réimagerie des appareils affectés garantit un nettoyage complet de tous les composants de cryptojacking persistants. servers s'appuient généralement sur des informations à jour backups pour rétablir rapidement les opérations. Confirmer l'intégrité de backup images ou instantanés avant de les redéployer dans environnements de production.

Renforcer les contrôles de sécurité

Les incidents de cryptojacking mettent en évidence les zones où la posture de sécurité est inadéquate. Affinez votre cadence de correctifs, renforcez les configurations et limitez les privilèges administratifs. Pour empêcher les cryptojackers de reprendre pied, révisez régulièrement votre pare-feu règles, politiques de segmentation du réseau et paramètres de prévention des intrusions.

Surveillance et tests continus

Routine évaluations de la vulnérabilité, tests de pénétration, et les revues de journaux centralisées sont essentielles pour anticiper les nouvelles tactiques de cryptojacking. Utilisez des analyses en temps réel renseignements sur les menaces et des systèmes de détection d'anomalies qui signalent les tendances suspectes. Des audits continus garantissent que les failles précédentes restent corrigées, réduisant ainsi considérablement les risques de cryptojacking à long terme.