Ce n’était pas le cadeau de Noël que Jonny Platt attendait.
En décembre dernier, le fondateur de SEO Scout, une société de logiciels d’analyse de site britannique, a déclaré qu’il était « horrifié » de voir 45 000 USD de frais apparaître sur sa déclaration de calcul sur le cloud Amazon Web Services (AWS), qui s’élevait généralement à environ 300 USD par mois. Un « escroc » a apparemment pénétré dans le compte d’hébergement cloud de son entreprise à l’aide d’un piratage non sophistiqué pour voler le pouvoir de traitement du serveur dans le seul but de générer de la cryptomonnaie, par le biais de ce que l’on appelle « l’extraction de pièces ».
Le hacker ? On estime à six le montant de Monero, une quantité de cryptomonnaie d’une valeur de 1 100 USD à l’époque.
« Quel gaspillage », a écrit Platt dans une publication Twitter. « La majorité des [petites et moyennes entreprises] qui prennent l’appât seraient détruites par une facture soudaine de 45 000 USD. Je peux vous dire que c’est effrayant. »
Platt, qui a finalement convaincu AWS d’annuler l’accusation, fait partie d’un nombre exponentiel de propriétaires d’entreprises dont les systèmes ont été détournés pour l’exploitation de pièces. En effet, Malwarebytes rapporte
une augmentation de 300 % des logiciels malveillants de cryptominage en 2021. SonicWall a connu
51 millions d’attaques au cours du premier semestre. Et Google affirme que
86 % des 50 compromis Google Cloud ont été utilisés pour l’extraction de pièces.
Également connus sous le nom de « piratage informatique », les piratages de monnaie passent souvent sous le radar de la plupart des services de sécurité informatique. Cela est en partie dû au fait qu’elles ne sont pas aussi catastrophiques que les menaces mieux connues, telles que les ransomwares ou les attaques par déni de service distribué (DDoS). Mais c’est également parce que ces pirates informatiques essaient d’accéder aux réseaux et de rester là aussi longtemps et silencieusement que possible.
Tout comme les voleurs qui trouvent des moyens de détourner des fractions de centimes que les banques oublient, volant des millions de dollars dans le processus, les pirates informatiques réussissent en dirigeant des dizaines de milliers de serveurs pour faire leur travail illicite.
Comment les mineurs de pièces gagnent de l’argent grâce au cryptojacking
Le piratage à grande échelle est le seul moyen pour les criminels de gagner de l’argent réel grâce à l’exploitation de pièces.
Pour les entrepreneurs légitimes, l’extraction de pièces est un processus minutieux qui utilise des ordinateurs puissants pour vérifier ou résoudre des problèmes mathématiques extrêmement complexes, dont les résultats sont enregistrés et suivis sur des livres numériques, ou blockchains. Chaque fois qu’un mineur résout
un problème, il est récompensé par des pièces numériques. Les entrepreneurs
disposant du bon équipement et de la bonne patience peuvent rendre une vie modeste
en faisant cela.
« [La plupart] des personnes qui prennent l’appât seraient détruites par une facture soudaine de 45 000 USD. Je peux vous dire que c’est effrayant. »Jonny Platt, fondateur de SEO Scout
Mais les cybercriminels préfèrent généralement des jours de paie plus importants et de plusieurs millions de dollars. Pour eux, le chemin vers la réussite réside dans l’accumulation de tonnes de puissance de traitement et la résolution d’un grand nombre de problèmes, rapidement et régulièrement.
« Si vous devez payer vous-même la facture d’électricité pour l’extraction de pièces, vous ne gagnerez pas beaucoup d’argent en le faisant », déclare Duncan Miller, directeur de la sécurité des endpoints pour la société de cybersécurité et de gestion des systèmes Tanium. « Mais si vous pouvez amener quelqu’un d’autre à payer la facture pour vous, cela devient beaucoup plus attrayant. »
Les pirates informatiques atteignent cet exploit en utilisant les mêmes exploits que ceux impliqués dans les formes plus répandues de logiciels malveillants. Les attaques de phishing, par exemple, incitent les utilisateurs à cliquer sur des liens qui placent des scripts de crypto-minage sur les réseaux d’entreprise. Une autre approche consiste à installer des scripts sur des sites Web ou des publicités numériques. Le script s’exécute sans rien installer sur l’ordinateur d’une personne. Les serveurs informatiques font partie du collectif d’extraction cryptographique, exécutant des algorithmes en arrière-plan. La plupart des utilisateurs ne sont pas les plus avisés.
Les pirates informatiques ciblent les cartes graphiques puissantes
Certains cryptocriminels ciblent également les cartes graphiques, couramment utilisées par les joueurs et également la plupart des utilisateurs d’ordinateurs portables, ce qui permet d’obtenir un pouvoir de traitement pour l’extraction de pièces. Mais ils le font d’une manière qu’un service informatique peut ne pas attendre de leurs employés désormais distants et occasionnellement jouant aux jeux.
Les GPU de NVIDIA (unités de traitement graphique), par exemple, sont devenus une plateforme populaire pour les mineurs de pièces cherchant à maximiser la production d’énergie. Mais comme il ne s’agissait pas d’une utilisation prévue, le fournisseur a installé un logiciel connu sous le nom de taux de hachage allégé (LHR) pour dissuader une telle activité. Cela a déclenché une guerre, en quelque sorte, avec un gang de pirates informatiques prolifique appelé Lapsus$. En février, le groupe sud-américain aurait volé environ 1 téraoctet de données de Nvidia et menacé de les divulguer si Nvidia n’éliminait pas son LHR.
Une organisation moyenne est peu susceptible de souffrir directement de ces activités, mais celles qui sont affectées sont généralement confrontées à de nombreux problèmes potentiels. Ils peuvent rencontrer des problèmes de performances réseau, par exemple. Ou surchauffe du système, qui nécessite alors plus de refroidissement. Leurs factures d’énergie peuvent augmenter en conséquence. Le temps et les coûts d’assistance informatique pourraient également augmenter, augmentant la pression sur les services informatiques déjà sous-chargés et surchargés. Et, bien sûr, ils pouvaient commencer à voir des factures de services cloud très gonflées, comme c’était le cas avec SEO Scout.
[Lecture supplémentaire : Le besoin croissant d’unifier l’informatique et la sécurité]
Bien que l’impact du cryptojacking sur les réseaux individuels ne soit pas toujours élevé, si quelqu’un est en mesure d’obtenir des logiciels malveillants sur un réseau pour extraire les cryptomonnaies, cela signifie qu’une entreprise est vulnérable à d’autres formes de logiciels malveillants, selon l’expert en cybersécurité Travis Taylor, qui co-organise le podcast What the Hack avec Adam Levin.
« Ils pouvaient décider de passer, à un moment donné, au lancement de types de logiciels malveillants plus menaçants », a déclaré Taylor à Endpoint. « Ou ils
pourraient vendre leur accès à d’autres personnes sur le dark web. Quoi qu’il en soit,
vous êtes vulnérable. »
Lutte contre le cryptojacking grâce à des pratiques de cyberhygiène
John Pescatore, directeur des tendances émergentes en matière de sécurité au sein de l’Institut SANS, déclare que, comme les piratages de monnaie utilisent largement des « techniques d’attaque standard avec différentes charges utiles et différents objectifs », les organisations doivent appliquer des contrôles de cyberhygiène de base pour minimiser les risques et réduire les dommages.
« Vous devez constamment vous adapter pour tenir les pirates informatiques à distance. »Travis Taylor, expert en cybersécurité et podcasteur
Pour commencer, Roland Diaz, directeur de la gestion technique des comptes chez Tanium, recommande d’appliquer un outil de gestion des actifs pour capturer une vue complète et à jour de l’ inventaire d’une entreprise. L’idée est de savoir non seulement quels ordinateurs, serveurs ou machines virtuelles (VM) accèdent au réseau, mais également quelles applications et processus s’exécutent sur eux. Tout comme un utilisateur d’ordinateur moyen peut voir les performances de son système pour savoir
ce qui ralentit un PC, il est important que les organisations informatiques surveillent, identifient et traitent les activités inhabituelles dans l’ensemble de l’entreprise, explique Diaz.
« Avec la gestion des actifs, je peux aller voir la bibliothèque de choses que je possède et dire : « OK, je vais cibler ces huit applications parce que je sais qu’il y a quelque chose de malveillant dans celles-ci. »
Miller de Tanium déclare que les équipes de sécurité informatique doivent également utiliser des outils de détection et de réponse aux endpoints (EDR) pour découvrir les activités connues. Les organisations veulent rechercher des ID tels que BTC et XMR, qui se rapportent respectivement à Bitcoin et Monero, y compris les
noms de fichiers et les lignes de commande, dit-il. Bien que l’EDR ne soit pas une solution complète pour chaque menace qui frappe un réseau, dans une situation comme celle-ci, elle peut être utilisée
correctement.
La sécurité informatique doit également surveiller les machines qui semblent utiliser une puissance de traitement du CPU ou de la mémoire supérieure à la moyenne, explique-t-il. Tout comme les agents de la DEA peuvent surveiller la consommation inhabituelle d’énergie dans les foyers pour trouver des laboratoires de drogue illégaux, les équipes informatiques peuvent examiner les problèmes de performance informatique pour repérer l’activité de cryptojacking.
Miller affirme que les organisations peuvent également utiliser des EDR pour rechercher les « mauvais hachages » connus qui sont associés au cryptojacking. Parmi ces derniers figurent :
- c717c47941c150f867ce6a62ed0d2d35
- 0c0195c48b6b8582fa6f6373032118da
- 1f776e609dcf28e1170a3167c30b0c6b
« Il est possible de rechercher ces hachages malveillants connus pour identifier les activités non autorisées dans votre environnement », dit-il. « Une fois que vous avez fait cela », dit-il, « il est assez facile dans la plupart des cas de supprimer les mineurs de
pièces. »
Utilisation de la recherche des menaces pour identifier le cryptojacking
Miller avertit qu’une fois qu’une menace potentielle d’extraction de pièces a été neutralisée, il est important de mener une enquête judiciaire pour voir comment les pirates informatiques ont compromis le système. Même si le problème immédiat a été résolu, la vulnérabilité existe toujours.
Dans certains cas, note-t-il, une attaque n’aurait peut-être pas été menée de l’extérieur. Cela aurait pu être un initié « empruntant » des ressources d’entreprise pour gagner un peu d’argent de côté. Des experts comme Taylor recommandent d’ éduquer les employés sur les risques et les menaces pour leur travail s’ils devaient permettre aux ressources informatiques de l’entreprise d’être utilisées de manière préjudiciable.
[Lire également : Pourquoi les travailleurs violent les politiques de cybersécurité]
Miller conseille aux enquêteurs judiciaires d’opérer comme des chasseurs de menaces, en tenant compte d’un large éventail de facteurs contributifs, tels que :
- ID. Un piratage a-t-il résulté d’informations d’identification compromises ?
- Stratégie. Les pirates informatiques ont-ils accès aux informations d’identification par hameçonnage, ingénierie sociale ou négligence ou hostilité des employés ?
- Calendrier. Quand l’événement a-t-il commencé ?
- Fréquence. Était-ce un événement isolé ou des piratages répétés se sont-ils produits ?
- Risque futur. L’événement a-t-il ouvert la porte à d’autres menaces qui pourraient être plus préjudiciables financièrement et opérationnellement ?
Selon les experts, le cryptojacking ne disparaît pas de sitôt. En fait, ils s’attendent à voir une augmentation de la fréquence et de la gravité.
« Quelles que soient les défenses que vous mettez en place pour contrecarrer les attaques, les crypto-hackers semblent trouver un moyen de les contourner à terme », déclare Taylor. « Il y aura toujours un nouveau moyen créatif d’éviter les protocoles de sécurité. Vous devez constamment vous adapter pour tenir les pirates informatiques à distance. »
