Le cryptojacking : comment le détecter et se protéger contre une infection

Dans le cryptojacking, les cybercriminels infectent des ordinateurs et des appareils mobiles à l’aide de malwares dans l’optique d’utiliser leur puissance de calcul pour générer des cryptomonnaies. Il est possible de détecter une infection si le processeur subit une charge d’une importance inexplicable. Différentes méthodes aident à détecter, stopper et prévenir le cryptojacking.

Le cryptojacking, de « cryptomonnaie » et « highjacking » (« détournerment » en français), est un malware hybride transmis sous la forme de chevaux de Troie et de scripts. Les cryptojackers ont plus ou moins remplacé le ransomware et les virus au rang des pires cybermenaces à l’échelle globale. Des systèmes infiltrés sont détournés à leur insu par des criminels à des fins de cryptominage de cryptomonnaies. Ceci entraîne une utilisation du processeur et une consommation d’énergie extrêmement élevées. Par contraste avec d’autres malwares, les cryptojackers visent avant tout à détourner les capacités de calcul ; le fait d’espionner les données sensibles des utilisateurs ou les données système ne fait pas vraiment partie de leurs objectifs.

Le cryptojacking est lié au processus de cryptominage. Dans le cryptominage, les mineurs mettent à disposition leurs propres capacités de calcul ou combinent ces dernières (lorsqu’ils font partie de pools) en vue de légitimer et vérifier les transactions réalisées en cryptomonnaies et de répertorier ces dernières dans la blockchain. Pour garantir la légalité des transactions, les transactions en Bitcoin, à titre d’exemple, sont enregistrées publiquement. Néanmoins, les altcoins anonymisés tels que Monero et Ethereum, offrent aux criminels l’anonymat nécessaire à leurs transactions illégales via des systèmes détournés.

À mesure que le cryptominage devient plus gourmand en ressources et plus chronophage, un minage rentable dépend de plus en plus de capacités de calcul élevées et d’une consommation d’énergie coûteuse. Le minage illicite sous forme de cryptojacking vise à utiliser les ressources informatiques d’autres personnes pour générer des bénéfices sans avoir à s’acquitter du moindre coût de fonctionnement soi-même. Dans cette optique, les systèmes affectés sont souvent ajoutés à des botnets de minage qui font office de pools de minage illicites et combinent la puissance de calcul de plusieurs ordinateurs.

Se retrouver intégré à un réseau de cryptojacking à grand échelle à son insu et contre son gré est plus facile que l’on croit. Vous pouvez être incité par un scareware qui vous amènera à cliquer sur un lien conduisant à un site Web infecté ou à télécharger une appli tierce issue d’une source suspecte. La seule chose que vous pourrez observer sera le ralentissement de votre système, car un cheval de Troie utilisera les capacités de calcul de votre PC ou de votre appareil mobile en arrière-plan.

Les utilisateurs à domicile ne constituent pas la seule cible des cryptojackers : des cas célèbres de cryptojacking ont impliqué des marques de premier plan telles que, par exemple, Tesla Motors, où des employés ont utilisé des applications non protégées infectées par des scripts de cryptojacking. Parmi les autres cas célèbres, on retrouve celui du Wi-Fi fourni par les boutiques Starbucks à Buenos Aires, qui permit le détournement des capacités de calcul des PC portables et des appareils mobiles qui s’y étaient connectés. On peut également citer les sites Internet de Cristiano Ronaldo et du Zoo de San Diego, qui utilisèrent à leur insu le programme de minage Coinhive pour miner les capacités de calcul de certains de leurs visiteurs.

Selon la manière dont les ordinateurs ou les appareils mobiles étrangers sont utilisés pour le cryptojacking, on distingue les catégories suivantes de malwares dangereux :

• Le cryptojacking via des chevaux de Troie/adwares : les systèmes qui se retrouvent infectés par le biais d’un cheval de Troie de cryptojacking via des sites, des fichiers, des téléchargements infectés, ou d’autres moyens sont utilisés pour rendre leurs processeurs central et graphique disponibles pour miner. Comme ils outrepassent les programmes antivirus et le gestionnaire de tâches, ils passent en général inaperçu pendant longtemps.
• Le cryptojacking via JavaScript/ les navigateurs : ici, le code de minage est dissimulé dans des scripts, par ex. sous la forme d’extraits de code du programme Coinhive, au sein de sites Web et exécuté par le navigateur. Les visiteurs du site Internet mettent à leur insu leur puissance de calcul à disposition pour miner, probablement même après avoir poursuivi leur navigation en-dehors du site, ce qui est possible via des pop-ups cachés et des onglets. Étant donné que les portails de streaming conservent leurs utilisateurs sur la même page pendant un long moment, ils sont aussi affectés par des codes de minage nichés dans les lecteurs vidéo ou par des pubs de cryptojacking déguisées.

Cela peut sembler ironique de la part du créateur du code JavaScript Coinhive, largement utilisé pour le cryptojacking, de soutenir que Coinhive est une alternative aux bannières publicitaires classiques. Mais l’idée sous-jacente à un code tel que Coinhive n’est pas illégale. Du moins, à condition qu’il ne soit pas utilisé à mauvais escient. En principe, un code intégré à des sites Internet, via lequel les visiteurs acceptent consciemment de miner, peut constituer une alternative sûre aux publicités qui mènent à des arnaques malveillantes, des sites de phishing ou au vol de données utilisateurs sensibles.

Le prérequis pour cela est le fait que les visiteurs de la page acceptent de concéder une partie de leur puissance de calcul pour visiter le site Web, comme c’est le cas avec les demandes d’accepter les cookies. Ainsi, les opérateurs des sites Internet se financent même si leur site ne déborde pas de publicités incontrôlées. Néanmoins, ceci ne pourrait être mis en place que sur la base de normes indépendantes et d’une transparence des codes de cryptominage dans les projets Web. Un exemple réussi d’utilisation légale de Coinhive fut une initiative de dons menée par UNICEF Australie, où les dons étaient générés par les visites du site.

Si vous vous demandez si votre appareil est affecté par un malware de cryptomining, vous devriez être attentif au signe le plus courant pour détecter un malware : une charge d’une ampleur inexplicable subie par le processeur central ou graphique. Étant donné que les cryptojackers sont d’abord intéressés par la puissance de calcul, il est difficile de dissimuler l’impact du malware. En vue de générer des profits élevés à l’aide du cryptojacking, la charge de travail doit être d’une importance équivalente. Cette dernière peut parfois s’élever jusqu’à 90 ou 100%.

Si la ventilation du PC tourne de manière assez bruyante pour qu’on l’entende ou que l’appareil est en surchauffe, cela indique la présence de processus en cours d’exécution en arrière-plan. Or, à moins que vous n’exécutiez des tâches nécessitant de fortes capacités de calcul, votre appareil ne devrait pas surchauffer. S’il le fait, cela peut indiquer une possible infection par un malware. Dans le pire des cas, un cryptojacking non détecté peut raccourcir la durée de vie de votre appareil du fait d’une charge permanente, et peut également augmenter vos factures d’électricité.

Les personnes infectées par des chevaux de Troie de cryptojacking doivent procéder de la même manière qu’elles le feraient face à toute autre infestation par un malware :

Scannez votre appareil à l’aide d’un logiciel anti-malware fiable afin de vérifier si le programme malveillant est détectable ; éliminez le malware. Étant donné que les chevaux de Troie de cryptojacking peuvent désactiver les logiciels antivirus ainsi que le gestionnaire de tâches ou se cacher dans les fichiers systèmes de registre, cette méthode ne donne pas toujours satisfaction.

Si les programmes anti-malwares ne détectent rien, contactez un professionnel de la sécurité informatique. Vous pouvez jouer la carte de la prudence en réinitialisant complètement votre appareil, par ex. en utilisant Windows Recovery.

Vous pouvez prévenir les attaques de chevaux de Troie de cryptojacking en maintenant votre système à jour, en installant des mises à jour, en ayant recours à un logiciel antivirus fiable et mis à jour régulièrement, et restant attentif aux comportements suspects du système, par exemple, un appareil en surchauffe, un ventilateur bruyant, et un processeur qui tourne au ralenti.

Dans la mesure où le cryptojacking n’infecte pas toujours votre système, mais détourne également vos capacités de calcul via des scripts Java, des publicités ou des contenus en streaming, le minage illégal peut être évité en bloquant les scripts Java ou les listes qui filtrent les outils de minage. Les scripts Java pourront dès lors être désactivés au sein de n’importe quel navigateur. Néanmoins, ceci peut se traduire par le fait que certaines fonctionnalités de sites ne soient plus exécutables. Les extensions de navigateur telles que « No Coin » ou « MinerBlock » tentent également de prévenir les activités de minage au sein du navigateur.

Il est plus sûr d’utiliser des solutions de sécurité holistiques telles que MyDefender de IONOS ou Malwarebytes, lequel détecte à la fois les malwares « classiques », les malwares de minage et les combats.

Étant donné que le cryptojacking peut endommager le matériel et conduire à des pertes de données, vous devriez régulièrement sauvegarder vos données à l’aide de médias externes. MyDefender de IONOS constitue une option adaptée qui offre des sauvegardes automatiques dans des data centers ISO-certifiés pour la double protection et des sauvegardes multiples. Vous pouvez sauvegarder des données sélectionnées ou des systèmes entiers.

Il est possible de répartir les malwares en plus ou moins trois catégories :

• Les virus : des codes de logiciels malveillants qui se multiplient, manipulent et endommagent les systèmes.
• Les vers : une sous-catégorie de virus qui manipulent les systèmes, les endommagent, créent des brèches pour d’autres malwares, surchargent les capacités des ordinateurs et, à la différence des virus, se répandent sans intervention de l’utilisateur (par ex. au trav ers d’emails et de spams dans les réseaux) ; un exemple bien connu est Emotet.
• Les chevaux de Troie : des codes de logiciels malveillants qui ne se reproduisent pas mais manipulent les fonctionnalités du système.

Comme le montre le cryptojacking, les frontières entre les programmes malveillants sont floues. À titre d’exemple, les vers informatiques ont souvent pour fonction de permettre à des chevaux de Troie et des rootkits malveillants d’entrer. Parmi les fonctions les plus répandues des malwares, on retrouve :

• L’espionnage et l’hameçonnage de données utilisateurs sensibles et de données d’accès.
• La diffusion et le téléchargement de malwares supplémentaires, par ex. au sein de botnets
• Les infiltrations visant à mener à bien des cyberattaques
• Le « détournement » de systèmes pour réaliser des tâches ciblées
• La surcharge d’ordinateurs et de systèmes due à des attaques DDoS et DoS
• Le chiffrement de données en vue d’extorquer de l’argent, comme c’est le cas avec le ransomware