Ce n'était pas le cadeau de Noël auquel Jonny Platt s'attendait.
En décembre dernier, le fondateur de SEO Scout, une société britannique spécialisée dans les logiciels d'analyse de sites web, a déclaré avoir été « horrifié » de constater que des frais de 45 000 dollars figuraient sur son relevé de facturation d'Amazon Web Services (AWS), qui s'élevait généralement à environ 300 dollars par mois. Un « escroc » aurait piraté le compte d'hébergement cloud de son entreprise à l'aide d'une technique rudimentaire afin de détourner la puissance de calcul du serveur dans le seul but de générer de la cryptomonnaie, par le biais d'un procédé appelé « minage de cryptomonnaie ».
Le butin du pirate informatique ? On estime que six Monero, soit un montant en cryptomonnaie qui ne représentait alors que 1 100 dollars.
« Quel gâchis », a écrit Platt dans un message sur Twitter. « La majorité des [petites et moyennes entreprises] qui mordraient à l'hameçon seraient ruinées par une facture soudaine de 45 000 dollars. » « Je peux vous dire que c'est vraiment flippant. »
M. Platt, qui a finalement réussi à convaincre AWS d'annuler ces frais, fait partie d'un nombre croissant de chefs d'entreprise dont les systèmes ont été détournés à des fins de minage de cryptomonnaies. En effet, Malwarebytes fait état
d'une augmentation de 300 % des logiciels malveillants de cryptomining en 2021. SonicWall a recensé
51 millions d'attaques au cours du premier semestre. Et selon Google,
, 86 % des 50 incidents de sécurité survenus sur Google Cloud ont été utilisés à des fins de minage de cryptomonnaie.
Également appelées « cryptojacking », les attaques visant à extraire des cryptomonnaies passent souvent inaperçues aux yeux de la plupart des services de sécurité informatique. Cela s’explique en partie par le fait qu’elles ne présentent pas un risque aussi catastrophique que des menaces plus connues, telles que le ransomware « » ou les attaques par déni de service distribué (DDoS) . Mais c'est aussi parce que ces pirates informatiques tentent de s'introduire dans les réseaux et d'y rester le plus longtemps possible, en toute discrétion.
À l’instar des voleurs qui trouvent le moyen de détourner des fractions de centimes que les banques négligent — et qui, ce faisant, dérobent des millions de dollars —, les cryptojackers parviennent à leurs fins en mobilisant des dizaines de milliers de serveurs pour mener à bien leurs activités illicites.
Comment les mineurs de cryptomonnaies tirent-ils profit du cryptojacking ?
Le piratage à grande échelle est le seul moyen pour les criminels de gagner réellement de l'argent grâce au minage de cryptomonnaies.
Pour les entrepreneurs sérieux, le minage de cryptomonnaies est un processus minutieux qui consiste à utiliser des ordinateurs puissants pour vérifier ou résoudre des problèmes mathématiques extrêmement complexes, dont les résultats sont enregistrés et suivis dans des registres numériques, appelés « blockchains ». Chaque fois qu'un mineur résout
un problème, il est récompensé par des pièces numériques. Les entrepreneurs
qui disposent du matériel adéquat et font preuve de patience peuvent gagner modestement leur vie
grâce à cette activité.
«La [plupart] de ceux qui mordraient à l'hameçon se retrouveraient ruinés par une facture inattendue de 45 000 dollars. » Je peux vous dire que c'est vraiment flippant. »Jonny Platt, fondateur de SEO Scout
Mais les cybercriminels préfèrent généralement les butins plus importants, de plusieurs millions de dollars. Pour eux, la clé du succès réside dans la mise en œuvre d'une puissance de calcul considérable et dans la résolution d'un nombre impressionnant de problèmes, rapidement et régulièrement.
« Si vous devez payer vous-même la facture d’électricité liée au minage de cryptomonnaies, vous ne gagnerez pas beaucoup d’argent en vous y consacrant », explique Duncan Miller, directeur de la sécurité des terminaux chez Tanium, une entreprise spécialisée dans la cybersécurité et la gestion des systèmes. « Mais si vous parvenez à convaincre quelqu’un d’autre de payer la note à votre place, cela devient alors bien plus intéressant. »
Les cryptojackers parviennent à cet exploit en utilisant les mêmes failles que celles exploitées par des formes plus courantes de logiciels malveillants. Les attaques de hameçonnage, par exemple, incitent les utilisateurs à cliquer sur des liens qui installent des scripts de minage de cryptomonnaies sur les réseaux d'entreprise. Une autre approche consiste à installer des scripts sur des sites web ou dans des publicités numériques. Le script s'exécute sans rien installer sur l'ordinateur de l'utilisateur. Les serveurs informatiques intègrent le réseau de minage de cryptomonnaies et exécutent des algorithmes en arrière-plan. La plupart des utilisateurs n'en savent pas plus.
Les cryptojackers ciblent les cartes graphiques puissantes
Certains cybercriminels s'attaquent également aux cartes graphiques, couramment utilisées par les joueurs mais aussi par la plupart des utilisateurs d'ordinateurs portables, afin de s'approprier de la puissance de calcul pour le minage de cryptomonnaies. Mais ils le font d’une manière à laquelle un service informatique ne s’attendrait peut-être pas de la part de ses collaborateurs, désormais en télétravail et qui s’adonnent parfois aux jeux vidéo.
Les GPU (processeurs graphiques) de Nvidia, par exemple, sont devenus une plateforme très prisée des mineurs de cryptomonnaies cherchant à optimiser leur production d'énergie. Mais comme il ne s'agissait pas d'une utilisation prévue, le fournisseur a installé un logiciel appelé « Lite Hash Rate » (LHR) afin de dissuader ce type d'activité. Cela a déclenché une sorte de guerre avec un groupe de pirates informatiques très actif appelé Lapsus$. En février, le groupe sud-américain « » aurait dérobé environ 1 téraoctet de données à Nvidia et menacé de les divulguer si Nvidia ne supprimait pas sa technologie LHR.
Une organisation lambda a peu de chances de subir directement les conséquences de telles activités, mais celles qui sont touchées sont généralement confrontées à de nombreux problèmes potentiels. Ils pourraient par exemple rencontrer des problèmes de performances réseau. Ou encore une surchauffe du système, qui nécessite alors un refroidissement accru. Leurs factures d'énergie pourraient donc grimper en flèche. Le temps et les coûts liés à l'assistance informatique pourraient également augmenter, ce qui accentuerait la pression sur les services informatiques déjà en sous-effectif et surchargés de travail. Et, bien sûr, ils pourraient se retrouver avec des factures de services cloud exorbitantes, comme cela a été le cas avec SEO Scout.
[Lecture supplémentaire : Le besoin croissant d’unifier l’informatique et la sécurité]
Même si l'impact du cryptojacking sur les réseaux individuels n'est pas toujours important, le fait qu'une personne parvienne à introduire un logiciel malveillant sur un réseau afin d'extraire de la cryptomonnaie signifie que l'entreprise est vulnérable à d'autres formes de logiciels malveillants, selon l'expert en cybersécurité Travis Taylor, qui co-anime le podcast « What the Hack » avec Adam Levin.
« Ils pourraient décider, à un moment donné, de passer à des types de logiciels malveillants plus dangereux », a déclaré M. Taylor à Endpoint. « Ou bien ils
pourraient vendre leurs identifiants à d’autres personnes sur le dark web. » Quoi qu’il en soit,
vous êtes vulnérable. »
Lutter contre le cryptojacking grâce à des pratiques de cyberhygiène
John Pescatore, directeur chargé des tendances émergentes en matière de sécurité au SANS Institute, affirme que, dans la mesure où les attaques visant à extraire des cryptomonnaies recourent principalement à « des techniques d’attaque standard associées à des charges utiles et à des objectifs variés », les organisations devraient mettre en œuvre des mesures élémentaires de cyberhygiène et de contrôle de l’ afin de minimiser les risques et de limiter les dommages.
«Vous devez vous adapter en permanence pour tenir les pirates à distance. »Travis Taylor, expert en cybersécurité et animateur de podcast
Pour commencer, Roland Diaz, directeur de la gestion technique des comptes chez Tanium, recommande de mettre en place un outil d' de gestion des actifs afin d'obtenir une vue complète et à jour de l'inventaire des de l'entreprise. L'objectif est de savoir non seulement quels ordinateurs, serveurs ou machines virtuelles (VM) accèdent au réseau, mais aussi quelles applications et quels processus y sont exécutés. Tout comme un utilisateur lambda peut consulter les performances de son système pour comprendre
ce qui ralentit son PC, il est important que les services informatiques surveillent, identifient et traitent toute activité inhabituelle au sein de l'entreprise, explique M. Diaz.
« Grâce à la gestion des actifs, je peux accéder au système, consulter la liste des éléments que je possède et me dire : “Très bien, je vais cibler ces huit applications, car je sais qu’elles contiennent un élément malveillant.” »
M. Miller, de Tanium, affirme que les équipes de sécurité informatique devraient également utiliser des outils de détection et de réponse au niveau des terminaux (EDR) pour identifier les activités connues. Les organisations doivent rechercher des identifiants tels que « BTC » et « XMR », qui correspondent respectivement au Bitcoin et au Monero, notamment dans les noms de fichiers
s et les lignes de commande, précise-t-il. Même si la solution EDR d’ n’est pas une solution miracle face à toutes les menaces qui pèsent sur un réseau, elle peut s’avérer très utile
dans une situation comme celle-ci.
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
La sécurité informatique devrait également surveiller les machines qui semblent utiliser une puissance de traitement du processeur ou de la mémoire supérieure à la moyenne, précise-t-il. Tout comme les agents de la DEA peuvent surveiller les consommations d'énergie inhabituelles dans les habitations afin de débusquer des laboratoires de drogue clandestins, les équipes informatiques peuvent analyser de près les problèmes de performances des ordinateurs pour détecter des activités de cryptojacking.
Selon M. Miller, les organisations peuvent également utiliser les solutions EDR pour rechercher des « hachages malveillants » connus associés au cryptojacking. Parmi ces derniers figurent :
- c717c47941c150f867ce6a62ed0d2d35
- 0c0195c48b6b8582fa6f6373032118da
- 1f776e609dcf28e1170a3167c30b0c6b
« Il est possible de rechercher ces hachages connus pour être malveillants afin d’identifier toute activité non autorisée dans votre environnement », explique-t-il. « Une fois que vous avez fait cela », dit-il, « il est assez facile, dans la plupart des cas, de supprimer les mineurs de cryptomonnaie d’
. »
Recourir à la recherche active de menaces pour détecter le cryptojacking
M. Miller souligne qu’une fois qu’une menace potentielle liée au minage de cryptomonnaies a été neutralisée, il est important de mener une enquête technique afin de déterminer comment les pirates ont compromis le système. Même si le problème immédiat a été résolu, la vulnérabilité persiste.
Dans certains cas, fait-il remarquer, une attaque n'a peut-être pas été perpétrée depuis l'extérieur. Il aurait pu s’agir d’un initié «» utilisant les ressources de l’entreprise pour se faire un peu d’argent en parallèle. Des experts tels que Taylor recommandent de sensibiliser les collaborateurs aux risques et aux menaces qui pèseraient sur leur emploi s'ils autorisaient une utilisation abusive des ressources informatiques de l'entreprise.
[Lire aussi : Pourquoi les employés enfreignent les politiques de cybersécurité]
M. Miller conseille aux enquêteurs judiciaires d'adopter la même approche que les « » () et les « threat hunters » (), en tenant compte d'un large éventail de facteurs contributifs, tels que :
- Identifiants. Cette intrusion est-elle due à la compromission d'identifiants ?
- Stratégie. Les pirates ont-ils accédé aux identifiants par le biais d'hameçonnage, d'ingénierie sociale, ou en raison de la négligence ou de l'hostilité d'un employé ?
- Le timing. Quand cet événement a-t-il commencé ?
- Fréquence. S'agissait-il d'un incident isolé ou y a-t-il eu plusieurs piratages ?
- Risque futur. Cet événement a-t-il ouvert la voie à d'autres menaces susceptibles d'être plus préjudiciables sur le plan financier et opérationnel ?
Selon les experts, le cryptojacking n'est pas près de disparaître. En effet, ils s'attendent à une augmentation de la fréquence et de la gravité de ces phénomènes.
« Quelles que soient les mesures de protection que vous mettiez en place pour contrer les attaques, les cryptojackers semblent finir par trouver un moyen de les contourner », explique Taylor. « Il y aura toujours un moyen nouveau et créatif de contourner les protocoles de sécurité. » « Vous devez sans cesse vous adapter pour tenir les pirates à distance. »
