The Pirate Bay. Des extensions compatibles avec Chrome. La chaîne Showtime de CBS. Quoi de neuf pour cette nouvelle vague de mineurs en arrière-plan ? Selon les gens d'ESET, des serveurs basés sur Windows Server 2003 R2 qui n'ont pas reçu les correctifs correspondants. La dernière opération est restée active pendant trois mois, et les attaquants ont généré l'équivalent de 63 000 dollars en Monero, l'une des cryptomonnaies les plus populaires du moment.
La cryptomonnaie, une cible de choix
Le génie est sorti de la lampe, je ne vois pas d'autre façon de le décrire. Le cryptominage n'est pas seulement devenu attrayant en raison de la valeur actuelle des monnaies, mais aussi parce qu'il est relativement facile à réaliser. Les outils sont open source, fonctionnent très bien, et avec quelques ajustements préalables dans un fichier de configuration, le reste se réduit à faire un double-clic sur son exécutable. Des services comme Coinhive donnent lieu à un minage qui peut être intégré au code de n'importe quelle page web ou service en ligne, et comme on pouvait s'y attendre, les attaques visant à installer des cryptomineurs sur des systèmes 24h/24 et 7j/7 se multiplient. Les campagnes visent un grand nombre de terminaux travaillant à faible intensité, et bien que les solutions de sécurité parviennent à détecter sans trop d'effort les mineurs, elles rencontrent beaucoup de succès.
Détails de l'opération
Le dernier rapport nous parvient via ESET, qui a détecté une opération lancée en mai dernier. Les attaquants ont légèrement modifié la version 0.8.2 du mineur open source XMRig, qui utilise les ressources du processeur pour générer du Monero (XMR). En substance, ils ont inséré l'adresse du « pool » de minage, le portefeuille vers lequel les pièces doivent être transférées, et une commande spéciale qui interrompt le processus de tout autre cryptomineur concurrent. Le déploiement a été rendu possible grâce à CVE-2017-7269, une vulnérabilité découverte en mars 2017 dans le service WebDAV de Microsoft IIS 6.0, utilisé par Windows Server 2003 R2. Toutes les versions de Windows 2003 ont terminé leur support étendu en juillet 2015, mais un correctif.
Bilan de l'opération
En résumé, l'attaque s'est concentrée sur des serveurs Windows Server 2003 R2 non protégés, et en trois mois, ils ont produit 414,98 XMR, qui, à leur plus haute cotation, valaient 63 000 dollars. Le nombre exact de serveurs infectés est inconnu, mais on l'estime, à partir du hashrate, à plusieurs centaines de serveurs. La puissance de minage de la campagne diminue déjà, car XMRig n'a aucune persistance et est très facile à éliminer, mais ce n'est qu'une question de temps avant qu'ils ne mettent en place quelque chose de plus robuste et furtif.
ESET
