Les pirates informatiques sont opportunistes, le minage de cryptomonnaie gagne du terrain. Au fur et à mesure que les constructeurs augmentent la puissance des matériels, ces dispositifs deviennent des cibles de plus en plus utiles pour les Botnets. Dans le même temps, les pirates informatiques recherchent les vulnérabilités des périphériques ou exploitent des applications et des périphériques mobiles Dès l’instant qu’un réseau n’est pas sécurisé.
Le minage de cryptomonnaie en tête de gondole pirate. Les Ransomwares ont permis de monétiser facilement ces vulnérabilités et ont eu comme effet secondaire de faire exploser la valeur des crypto-monnaies en raison de leur intérêt croissant. L’extraction de crypto-monnaies (cryptocurrency mining), qui consiste à confirmer des transactions en Bitcoin ou autre monnaies virtuelles, est parfaitement légal. Les développeurs d’applications mobiles recherchent des moyens de monétiser leur travail sur ce marché concurrentiel et l’extraction de bitcoin via ces applications est devenue une opportunité intéressante. Cependant, cette méthode de monétisation pose problèmes lorsque les utilisateurs ne savent pas que leurs appareils sont utilisés pour extraire de la monnaie numérique.
Les récentes poursuites judiciaires contre Apple, accusé de ralentir les performances des versions les plus anciennes de ses iPhones, pourrait devenir un précédent juridique dans le cadre de futures poursuites pour des affaires de « cryptocurrency mining ». Si un utilisateur peut poursuivre Apple en justice puisque son téléphone a été ralenti sans qu’il ne le sache, des développeurs qui installent des capacités minières affectant les performances et la durée de vie des batteries pourraient également être tenus responsables.
Non seulement cette menace est amenée à s’installer, mais elle est en train de devenir aussi présente que les ransomwares. Par exemple, des indicateurs fiables montrent que les pirates utilisent d’anciennes vulnérabilités plus pour miner de la crypto-monnaies après avoir initialement tenté une infection pour générer des bitcoins sans exiger de rançon. Au fur et à mesure que ce pool se rétrécit, les mineurs se concentrent sur l’extraction de la valeur par d’autres moyens, tels que l’utilisation du malware comme arme DDoS.
Bien que la malveillance de ce type d’applications mobiles et de navigateurs Web infectés fasse l’objet de débats, nous pouvons dire avec certitude que nous assistons à la naissance d’une nouvelle forme de malware. Et sans une stratégie robuste de sécurité et de surveillance, ainsi que la visibilité du réseau pour protéger les applications et les ordinateurs, on doit s’attendre à devenir les prochaines victimes du cryptocurrency mining.
L’extraction à l’ère du mobile
L’ère du mobile a créé une occasion pour les pirates de tirer le meilleur parti des logiciels malveillants destinés à miner de la crypto-monnaie. Cette pratique nécessite de la puissance CPU pour générer de la valeur, de la puissance de traitement de données et consomme de l’électricité, trois besoins qui coûtent de l’argent.
Les recherches montrent qu’il existe de nombreuses applications Android malveillantes qui circulent actuellement sur Internet. Parmi elles, certains crypto-mines ont réussi à contourner les filtres pour intégrer le Google Play Store. Une récente analyse sur les malwares visant les mobiles a conduit les chercheurs à identifier un certain nombre de portefeuilles de crypto-monnaie et de comptes appartenant tous à un même développeur russe, lequel affirme que son activité est parfaitement légale pour faire de l’argent.
Dans le domaine de l’industrie, nous avons un point de vue totalement différent et nous considérons que le minage de crypto-monnaies est un détournement du dispositif d’un utilisateur. Bien qu’il soit techniquement légal que l’extraction de crypto-monnaies soit divulguée, ces actions sont délibérément trompeuses et manquent souvent de transparence.
Nous avons été témoins de l’utilisation de mineurs intégrés à des applications légitimes, disponibles sur l’Android Store, et qui sont utilisés pour extraire de la valeur à partir de téléphones mobiles, lorsque leurs propriétaires ne les utilisent pas. Au cours des derniers mois, il y a eu plusieurs cas de pirates exploitant des crypto-monnaies, même une fois que la fenêtre de navigateur était fermée.
Parmi les autres méthodes qu’utilisent les pirates pour déployer des mineurs de crypto-monnaies, on retrouve l’utilisation des forcers bruts Telnet/SSH, ainsi que l’injection SQL et l’installation directe des mineurs. Le crypto-minage, qu’il s’opère via les navigateurs ou les applications mobiles, va persister, de telle sorte que les entreprises concernées devraient améliorer leurs performances de sécurité, en apportant une visibilité et un contexte au niveau des applications à leurs outils de surveillance.
Plus d’appareils, plus de minage
Alors que de nouvelles menaces de sécurité émergent chaque semaine, il y a de fortes chances pour que d’autres périphériques soient rapidement infectés par des malwares de cryptocurrency mining. L’accroissement de la présence de dispositifs IoT va créer de nouvelles cibles pour les mineurs de crypto-monnaies. Nous pourrons également voir des attaques hybrides qui s’appuient d’abord sur un ransomware puis sur un crypto-mineur, afin de profiter deux fois d’une même attaque sur chaque ordinateur.
La plupart de ces attaques se produisent à la périphérie du réseau. L’une des attaques les plus fréquentes qui tente d’installer des crypto-mineurs est la vulnérabilité EternalBlue. Celle-ci a permis le développement de ransomwares comme WannaCry et Not-Petya. Et alors que les pirates n’utilisent pas de nouveaux outils ou de méthodes avancées pour déployer ces mineurs de crypto-monnaies, ils rencontrent quand même du succès. Par conséquent, les entreprises doivent avoir une stratégie réactive de gestion des correctifs, s’assurer que leurs règles IPS sont à jour, effectuer des tests pour s’assurer qu’elles peuvent détecter les vulnérabilités qui ne peuvent pas être corrigées immédiatement, et enfin, surveiller le trafic réseau pour identifier le trafic d’exploitation de chaque poste.
Si les organisations n’ont pas d’informations sur leurs réseaux, elles ne sont pas en mesure de savoir si leurs terminaux exploitent de la crypto-monnaie sans autorisation, divulguent des données en cas de brèche ou diffusent des malwares en interne. La mise en place d’une solution de surveillance du réseau les alertera dès le début d’un compromis en montrant un changement dans la configuration du trafic réseau. (Par Steve McGregory, Senior Director ATI Research chez Ixia)
