Cryptojacking.

Le cryptojacking détourne le CPU, le GPU ou le compte cloud d'une victime pour miner de la cryptomonnaie, presque toujours du Monero (XMR), car il préserve l'anonymat et reste rentable sur des CPU ordinaires. Trois styles dominent. Le minage par navigateur (drive-by) a culminé avec Coinhive, un mineur JavaScript lancé en 2017 et intégré — souvent sans consentement — à des milliers de sites et de chaînes de malvertising, jusqu'à sa fermeture en mars 2019. Le malware d'hôte dépose un mineur après compromission ; des vers comme WannaMine se sont propagés via l'exploit EternalBlue. L'abus du cloud est désormais le plus coûteux : en février 2018, RedLock a découvert du minage dans le compte AWS de Tesla après avoir atteint une console d'administration Kubernetes non protégée, avec un mineur Stratum personnalisé et furtif. En octobre 2019, Palo Alto Unit 42 a documenté Graboid, le premier ver de cryptojacking à se propager sur plus de 2000 hôtes Docker exposés. Des groupes comme TeamTNT et Kinsing scannent en continu les API Docker et Kubernetes exposées.

Comme rien n'est chiffré ni exfiltré, le cryptojacking se cache des mois ; les signes sont une charge CPU/GPU soutenue, une surchauffe et des factures cloud inattendues.

flowchart TD
  A[Attaquant] --> B{Méthode d'accès}
  B -->|JS malveillant sur site| C[Le navigateur de la victime mine]
  B -->|Malware dropper| D[Le poste CPU/GPU mine]
  B -->|Identifiants volés / API exposée| E[Instances cloud lancées]
  C --> F[Hashes vers le pool de minage]
  D --> F
  E --> F
  F --> G[Monero versé au portefeuille de l'attaquant]
  H[Défenses : EDR, bloqueurs,<br/>lignes de base de ressources, audit IAM] -.bloque.-> C & D & E

Les défenses incluent l'antimalware d'endpoint et l'EDR, les bloqueurs de navigateur, l'établissement de lignes de base des processus et ressources, la restriction du trafic sortant vers les pools connus et l'audit strict des permissions IAM et des endpoints de gestion exposés.