La recherche de sources de revenus plus stables (et plus furtives) par les auteurs de menaces a permis au cryptojacking d’atteindre des niveaux record en 2022.

La fin du mois de février a rappelé à l’ordre tous ceux qui pensaient encore que télécharger illégalement des logiciels était une bonne idée. Des chercheurs ont en effet identifié une nouvelle version d’un malware de cryptojacking caché dans des versions piratées de l’application de montage vidéo Final Cut Pro d’Apple. Ce malware qui cible macOS a été conçu pour se retourner contre les pirates en détournant leurs ordinateurs et en les utilisant pour extraire illégalement du Monero.

Ce n’est pas la première fois que XMRig, une cryptomonnaie parfaitement légale, est identifiée dans un logiciel Final Cut Pro piraté, mais cette version est particulièrement furtive. Si un utilisateur remarque une baisse des performances de son ordinateur et ouvre Activity Monitor pour trouver la source du problème, XMRig s’arrête pour ne pas être détecté, puis se relance une fois Activity Monitor fermé.

Qu’est-ce que le cryptojacking ?

Le cryptojacking consiste à utiliser un ordinateur ou un autre appareil pour extraire de la cryptomonnaie à l’insu ou sans le consentement du propriétaire de l’appareil. Ce processus est souvent très gourmand en ressources et peut nuire aux performances de l’appareil ou entraîner des factures d’électricité plus élevées pour la cible.

Le cryptojacking a atteint des records en 2022

Bien que des entreprises comme Apple s’efforcent de renforcer leurs défenses contre les campagnes de cryptojacking, de récentes données suggèrent que la bataille risque d’être difficile.

Dans son Rapport SonicWall 2023 sur les cybermenaces, l’équipe de recherche sur les menaces SonicWall Capture Labs fait état d’une augmentation de 43 % en glissement annuel du nombre de tentatives de cryptojacking en 2022. Ce pic a permis au volume d’attaques de franchir pour la première fois la barre des 100 millions et d’atteindre un nouveau record de 139,3 millions d’attaques à la fin de l’année.

SonicWall a également observé un déplacement des sites ciblés. Si l’Amérique du Nord a connu une augmentation de 36 % en glissement annuel, l’Asie et l’Europe ont toutes deux enregistré des hausses à trois chiffres, cette dernière comptabilisant 6,5 fois plus d’attaques en 2022 qu’en 2021.

Comme l’indique le rapport, cette croissance est en partie due au fait que les auteurs de menaces suppléent aux ransomwares ou les délaissent au profit de sources de revenus plus discrètes. Au moins un gang de ransomware a publiquement annoncé mettre fin à ses opérations de ransomware au profit du cryptojacking. Et au vu de la baisse de 21 % en glissement annuel du nombre d’attaques de ransomwares observé par SonicWall en 2022, d’autres ont probablement fait de même.

Des attaques de plus en plus fréquentes, furtives et sophistiquées

À mesure que le cryptojacking se généralise, il étend aussi son territoire, les auteurs de menaces continuant d’élargir leur champ d’action au-delà des attaques traditionnelles basées sur Windows. Outre la campagne Final Cut Pro qui vient d’être découverte, des cryptomineurs ont également été identifiés dans d’autres applications conçues pour Mac, comme Adobe Photoshop et Apple Logic Pro.

Les serveurs Linux et même les serveurs Redis internes ont été des cibles privilégiées des campagnes de cryptojacking en 2022. Alors que nous avions signalé la croissance des attaques Redis dans notreRapport 2023 sur les cybermenaces, à peine une semaine après son lancement, une nouvelle campagne de cryptojacking ciblant Redis a été identifiée, cette fois exploitant l’outil légitime transfer[.]sh.

Alors que le cryptojacking continue de prendre de l’ampleur, les cybercriminels deviennent de plus en plus innovants. Par exemple, en janvier 2023, des auteurs de menaces ont utilisé l’automatisation pour créer 130 000 comptes d’essai gratuit sur des services de plateformes cloud dans le but d’exploiter les flux GitHub Actions pour du cryptominage illicite.

Avec l’augmentation des attaques de cryptojacking et l’évolution constante du paysage des cybermenaces, il est plus que jamais nécessaire d’avoir connaissance des derniers renseignements sur les menaces.

« Il est essentiel que les entreprises comprennent les tactiques, techniques et procédures (TTP) des attaquants, et s’engagent dans des stratégies de cybersécurité avisées pour se défendre et se relever d’événements perturbateurs pour l’entreprise », a déclaré Immanuel Chavoya, spécialiste en stratégie de détection des menaces et de réponse SonicWall. « Il s’agit notamment de stopper les attaques de ransomwares sophistiquées et de défendre les vecteurs de menace émergents, notamment l’IoT et le cryptojacking. »