Introduction
Des chercheurs en cybersécurité de chez Akamai ont récemment dévoilé deux méthodes inédites permettant de perturber et neutraliser les botnets dédiés au cryptomining illégal. Ces techniques exploitent des failles dans les topologies de minage et les politiques de gestion des pools de minage, obligeant les attaquants à repenser totalement leur infrastructure, voire à abandonner leurs campagnes.
La menace des botnets de cryptomining
Les botnets de cryptomining restent un problème majeur dans l’écosystème de la cybersécurité. Ils détournent la puissance de calcul des machines infectées pour miner des cryptomonnaies comme le Monero, entraînant :
Une surconsommation des ressources processeur (CPU)
Des lenteurs système
Une augmentation des coûts énergétiques
Des risques de panne matérielle
Ces réseaux malveillants s’appuient généralement sur des proxies de minage pour masquer l’adresse du portefeuille des cybercriminels et leur infrastructure réelle.
Technique n°1 : La méthode des “bad shares”
La première technique, surnommée “bad shares“, consiste à saboter le proxy de minage utilisé par les cybercriminels.
Principe de fonctionnement :
Les chercheurs se connectent au proxy malveillant en se faisant passer pour un mineur légitime.
Ils soumettent ensuite des résultats de calcul volontairement invalides (bad shares).
Après un certain nombre de partages invalides, le proxy est automatiquement banni du pool de minage, conformément aux politiques de sécurité des pools.
Conséquence immédiate :
Le botnetRéseau d'ordinateurs compromis contrôlés par un cybercriminel. Mirai a lancé une attaque massive DDoS en 2016. CERT-FR est instantanément désactivé, faisant chuter l’utilisation CPU des machines infectées de 100 % à 0 %.
Outil utilisé : XMRogue
Pour mener à bien cette attaque défensive, les chercheurs ont développé un outil interne baptisé XMRogue. Il permet de :
Simuler un mineur,
Se connecter au proxy malveillant,
Envoyer en masse des bad shares,
Provoquer l’exclusion du proxy par le pool.
Cette approche transforme le proxy, qui était censé protéger l’attaquant, en point unique de défaillance.
Technique n°2 : La surcharge des pools publics
La seconde méthode cible les cas où les machines infectées sont connectées directement à un pool public, sans passer par un proxy.
Comment ça marche :
Les chercheurs identifient le portefeuille de l’attaquant utilisé pour collecter les gains du minage.
Ils génèrent ensuite plus de 1 000 connexions simultanées utilisant ce portefeuille vers le pool.
Cela déclenche les mécanismes anti-abus du pool, entraînant le bannissement temporaire de l’adresse du portefeuille (généralement pendant une heure).
Limitation :
Cette technique est temporaire, car l’attaquant peut reprendre son activité après la période de bannissement en arrêtant les connexions massives.
Impact et portée
Bien que les deux méthodes aient été principalement testées sur des botnets de minage de Monero, Akamai souligne qu’elles sont transposables à d’autres cryptomonnaies, tant que les pools concernés appliquent des politiques similaires de gestion des partages et des connexions.
Les avantages pour les défenseurs
Ces techniques offrent plusieurs avantages :
Pas de perturbation des mineurs légitimes : Les utilisateurs honnêtes peuvent facilement changer d’IP ou de portefeuille pour reprendre leur activité.
Un impact important sur les botnets malveillants : Les attaquants devront modifier leur infrastructure entière, ce qui est long et complexe.
Une solution défensive proactive : Plutôt que de simplement bloquer les connexions ou nettoyer les machines infectées, cette approche attaque directement l’efficacité économique des campagnes de minage illégal.
Conclusion
Ces nouvelles approches défensives illustrent comment l’ingéniosité et la compréhension des protocoles réseau peuvent devenir des armes puissantes contre le cybercrime. En ciblant les points faibles structurels des botnets de cryptomining, les chercheurs ouvrent la voie à des stratégies de défense plus agressives et plus efficaces.
Cependant, il est important de rappeler que ces méthodes doivent être employées de manière éthique et uniquement dans le cadre légal, sous la supervision d’experts en cybersécurité.