Cryptojacking : ce que le minage caché rapporte, et comment le couper

Le cryptojacking consiste à faire tourner un logiciel de minage sur la machine de quelqu’un d’autre, sans le lui dire, et à encaisser ce qu’elle produit. Le propriétaire paie l’électricité, la chaleur, l’usure, et de plus en plus souvent une facture de fournisseur cloud. L’attaquant ramasse du Monero. Tout le reste du phénomène découle de ce seul rapport de force, et il se chiffre : ce qu’une machine détournée produit d’un côté, ce qu’elle coûte à celui qui la possède de l’autre. Les deux nombres ne sont pas du même ordre, et c’est précisément ce qui explique la forme qu’ont prise les attaques.

Ce qu’une machine détournée rapporte, et ce qu’elle coûte à son propriétaire

Le minage clandestin vise Monero, et Monero se mine avec RandomX. Le réseau produit un bloc toutes les deux minutes, soit 720 blocs par jour, à 0,6 XMR pièce depuis le passage à l’émission de queue le 9 juin 2022. Cela fait 432 XMR distribués quotidiennement à tous les mineurs de la planète. Au 14 août 2026, ces mineurs totalisent ensemble 6 104 163 991 hachages par seconde, et le cours est à 341,64 €.

La division tient en une ligne. 432 XMR multipliés par 341,64 € donnent 147 588 € de revenu quotidien pour l’ensemble du réseau ; rapportés à 6 104 164 kilohachages par seconde, ils valent 2,42 centimes par kilohash par seconde et par jour. Un Ryzen 7 5800X, huit cœurs de 2020 qu’on trouve encore dans beaucoup de tours, plafonne à 12,45 au meilleur relevé du classement public, et tourne plutôt autour de 11 en usage courant. Sa journée de calcul volé pèse donc 30 centimes. Un Ryzen 9 7950X, deux fois plus gros, en sort 26,96 et pèse 65 centimes. Un serveur bi-socket à deux EPYC 7742, 256 fils d’exécution, monte à 98,16 kilohashs et 2,37 € par jour.

Voilà pour la recette. L’addition, elle, n’arrive pas chez la même personne. Au tarif réglementé bleu résidentiel, option base, l’électricité française coûte 0,2001 €/kWh toutes taxes comprises au 1er août 2026. Un kilohash par seconde rapportant 2,42 centimes par jour, il a droit à 0,1208 kWh quotidiens avant que le calcul ne coûte plus qu’il ne rapporte, soit 5,04 watts en continu. Le budget du 5800X est donc de 63 watts, et ce budget vaut pour la machine entière : carte mère, mémoire, disques, rendement de l’alimentation, tout ce que la prise murale facture. AMD annonce 105 watts d’enveloppe thermique pour le seul processeur.

Personne ne fait tourner un poste de bureau sous 63 watts en martelant ses huit cœurs vingt-quatre heures d’affilée. Le calcul se referme donc toujours dans le même sens : l’attaquant encaisse quelques dizaines de centimes, le propriétaire en dépense davantage, et l’écart part en chaleur. Sur une machine, l’affaire est ridicule. Sur cent mille, elle devient un métier. Cette arithmétique est la même que celle qui régit ce qu’un processeur rapporte vraiment quand on mine volontairement, à ceci près que le mineur volontaire, lui, regarde sa facture.

Pourquoi Monero, et jamais Bitcoin

Trois raisons, et aucune n’est idéologique.

La première est technique. Monero a basculé sur RandomX le 30 novembre 2019, au bloc 1 978 433. RandomX exécute du code généré au hasard et martèle la mémoire, ce que fait bien un processeur généraliste et mal un circuit gravé pour une opération unique. Une machine volée, c’est justement un processeur généraliste. Il n’y a rien à installer de spécial, rien à acheter, et le binaire officiel de XMRig fonctionne tel quel sur à peu près tout ce qui fait tourner Linux ou Windows.

La deuxième se pose en euros. Bitcoin est hors de portée, et le chiffre le dit sans discussion. Un térahash par seconde de SHA-256 rapporte 49,6 satoshis par jour au 14 août 2026, une fois la récompense de 3,125 BTC et les frais rapportés au hashrate du réseau. Pour égaler les 30 centimes quotidiens que le Ryzen 7 5800X produit sur RandomX, il faudrait 11 térahachages par seconde. Onze térahachages, c’est une machine dédiée, gravée pour cette opération et pour rien d’autre : un Avalon A1566 en produit 185, dans 3 420 watts et un vacarme d’aspirateur industriel. Un processeur de bureau n’est pas au même étage du bâtiment. Le minage de bitcoin volé n’a jamais existé pour la même raison qu’on ne laboure pas un champ avec une paire de ciseaux.

Reste le moment où il faut sortir l’argent. Monero masque les montants, l’adresse de l’expéditeur et celle du destinataire. Une adresse Bitcoin qui reçoit les gains de dix mille machines infectées est un fil que n’importe qui peut tirer sur un explorateur public ; une adresse Monero ne dit rien à personne. Cette opacité vaut aussi côté pool : toutes les victimes minent dans le même compte, avec la même clé, ce qui dispense l’attaquant d’atteindre un seuil de versement machine par machine. Une machine seule ne franchirait jamais le moindre seuil ; cent mille machines réunies dans un seul compte le franchissent tous les jours. C’est ce détail d’infrastructure, plus que le montant unitaire, qui rend le cryptojacking viable.

Les portes d’entrée, avec ce qui est passé par chacune

Le script glissé dans une page web

Le 11 février 2018 à 11 h 14 GMT, un fichier JavaScript du produit BrowseAloud, édité par la société Texthelp et chargé par des milliers de sites pour lire leurs pages à voix haute, a été modifié par un tiers. Le code ajouté chargeait Coinhive, le service de minage dans le navigateur de l’époque. Le consultant Scott Helme a dénombré plus de 4 200 sites touchés d’un coup, dont l’Information Commissioner’s Office britannique, des pages du NHS, le Student Loans Company, plusieurs conseils municipaux et uscourts.gov aux États-Unis. Texthelp a coupé le service quelques heures plus tard.

Un seul fichier, un seul fournisseur, quatre mille sites. Le minage dans le navigateur n’installait rien sur la machine du visiteur. L’onglet ouvert suffisait, et le calcul cessait à sa fermeture.

La dépendance empoisonnée

Le 22 octobre 2021, entre 12 h 15 et 16 h 26 GMT, le compte du mainteneur de la bibliothèque npm ua-parser-js a été détourné. Trois versions piégées ont été publiées : 0.7.29, 0.8.0 et 1.0.0. Le paquet sert à reconnaître le navigateur et le système d’un visiteur à partir de son en-tête ; il totalisait alors près de huit millions de téléchargements hebdomadaires et environ 1 200 paquets dépendants. Le code ajouté testait le système, puis installait un mineur XMRig sous Windows comme sous Linux, doublé sous Windows d’un voleur de mots de passe. GitHub et la CISA américaine ont publié un avis dans la foulée.

Quatre heures d’exposition suffisent quand le paquet est en haut de la chaîne. Chaque machine de développeur, chaque serveur d’intégration continue, chaque conteneur reconstruit pendant ce créneau a récupéré le mineur en même temps que la bibliothèque.

Le service exposé sans mot de passe

C’est la voie la plus fréquentée, et la plus banale. En février 2018, les chercheurs de RedLock ont trouvé la console d’administration Kubernetes de Tesla accessible sans mot de passe. Elle contenait les identifiants d’accès à l’environnement Amazon Web Services du constructeur ; les intrus y ont installé un mineur, en prenant soin de maintenir la charge processeur basse et de cacher l’adresse du pool derrière Cloudflare. Tesla a refermé en quelques heures.

Huit ans plus tard, le motif n’a pas changé, seuls les logiciels exposés ont défilé. En mai 2025, Datadog Security Labs a décrit RedisRaider, un ver écrit en Go qui balaie l’espace IPv4 à la recherche de serveurs Redis répondant sur le port 6379 par défaut. Il n’exploite aucune faille : il se sert des commandes de configuration normales de Redis pour écrire un fichier dans /etc/cron.d, et laisse le planificateur du système lancer sa charge, une compilation maison de XMRig. En avril 2026, le chercheur Mark Ellzey, de Censys, a relevé plus d’un millier d’instances ComfyUI accessibles publiquement et enrôlées dans un botnet : certains modules de cette interface acceptent du code Python brut et l’exécutent sans demander la moindre authentification. Les machines compromises minaient du Monero avec XMRig et du Conflux avec lolMiner, tout en servant de relais proxy.

L’image de conteneur piégée

Un compte nommé docker123321, créé en mai 2017, a déposé sur Docker Hub dix-sept images présentées comme des versions prêtes à l’emploi de logiciels courants : Cron, Apache Tomcat, MySQL. Chacune embarquait un mineur XMRig et un shell inversé. Les images sont restées en ligne un an et ont été téléchargées plus de cinq millions de fois avant que Fortinet ne publie son analyse et que Docker Hub ne les retire, le 10 mai 2018. Les chercheurs de Kromtech ont retrouvé 544,74 XMR dans le portefeuille associé, environ 90 000 dollars au cours de l’époque.

Divisez : cinq millions de téléchargements pour 544,74 XMR, soit moins de quatre centimes par image tirée, au cours d’aujourd’hui. Le rendement unitaire est dérisoire. Le total ne l’est pas. Toute la logique du procédé tient dans cet écart. Sysdig a plus tard mesuré que 36 % des images malveillantes de Docker Hub contenaient un mineur, ce qui en fait la charge la plus courante du dépôt.

La faille publiée la veille

La quatrième voie s’est imposée récemment, et c’est la nouveauté du cycle. Le 3 décembre 2025, la faille CVE-2025-55182, surnommée React2Shell, a été rendue publique : une désérialisation non sécurisée dans le protocole Flight des React Server Components, notée 10 sur 10, exploitable sans authentification par une simple requête HTTP forgée, sur React 19.0 à 19.2 et, du côté de Next.js, sur les branches 15 et 16 ainsi que sur les préversions de la 14.3. L’éditeur écrit explicitement que la 13 et la 14 stable ne sont pas touchées. Unit 42, l’équipe de Palo Alto Networks, a observé l’exploitation en masse dans les jours suivants. Contre une installation laissée par défaut, elle marchait à tous les coups. Plusieurs grappes d’activité déployaient XMRig : téléchargement par wget ou curl, mise en place dans /tmp, connexion à des pools dont C3Pool, et un killall -9 node qui abat le processus Node de l’application victime.

Google Cloud a mesuré le délai dans son Cloud Threat Horizons Report H1 2026, publié le 11 mars 2026 : le mineur apparaissait environ 48 heures après la publication de la faille. Le même rapport, qui porte sur le second semestre 2025, enregistre un basculement net des voies d’entrée dans le cloud. Les vulnérabilités de composants tiers sont passées de 2,9 % des accès initiaux au premier semestre 2025 à 44,5 % au second, tandis que les identifiants faibles ou absents reculaient de 47,1 % à 27,2 %. Pour la première fois, la faille logicielle passe devant le mot de passe.

Pourquoi tout est parti dans le cloud

Sur un poste de bureau, l’attaquant gagne 30 centimes par jour et le propriétaire en perd davantage. Dans une instance louée, l’attaquant gagne toujours des centimes, mais il ne paie ni la machine, ni l’électricité, ni la climatisation, et il peut en démarrer quarante en une commande. L’échelle ne lui coûte rien. Elle est facturée au titulaire du compte, intégralement.

Sysdig a chiffré ce report dans son rapport de menaces publié le 28 septembre 2022, en suivant le groupe TeamTNT. Le résultat est le nombre le plus parlant du sujet : l’attaquant gagne 1 dollar pour 53 dollars facturés à la victime. Dans le cas suivi, 8 100 dollars de cryptomonnaie produits ont laissé 430 000 dollars de consommation cloud à payer.

La même équipe a décrit la variante gratuite un mois plus tard. L’opération baptisée PURPLEURCHIN, publiée le 25 octobre 2022, ouvrait automatiquement des comptes d’essai chez les hébergeurs d’intégration continue pour miner sur leurs coureurs offerts : plus de trente comptes GitHub, 2 000 comptes Heroku, 900 comptes Buddy, avec un VPN pour présenter une adresse différente à chaque inscription. Sysdig a estimé qu’il en coûterait plus de 100 000 dollars au fournisseur pour qu’un attaquant produise un seul XMR, et qu’il faut plusieurs milliers de comptes gratuits pour gagner 137 dollars. Le rendement est catastrophique et l’opération tourne quand même, parce que le catastrophique est pour quelqu’un d’autre.

La rapidité, elle, se compte en secondes. Le premier rapport Threat Horizons de Google, publié le 24 novembre 2021, portait sur cinquante instances Google Cloud récemment compromises : 86 % d’entre elles avaient servi à miner, et dans 58 % des cas où la chronologie était reconstituable, le logiciel de minage était téléchargé dans les 22 secondes suivant la compromission. Le reste se partageait entre balayage de l’internet, hébergement de contenus, attaques vers d’autres cibles et envoi de courrier indésirable.

La France n’est pas à l’écart. Dans son Panorama de la cybermenace 2025, l’ANSSI écrit avoir été informée en juin 2025 de la compromission d’instances cloud appartenant à une entité publique, l’attaquant cherchant à en exploiter les ressources de calcul pour miner des cryptomonnaies. L’agence range le phénomène parmi les faits qu’elle observe régulièrement, et non parmi les curiosités.

Ce qu’une victime découvre, concrètement, c’est une facture qui a changé d’ordre de grandeur. Le rapport de 1 à 53 mesuré par Sysdig dit ce que l’intrusion coûte pour ce qu’elle rapporte, pas par combien la facture se multiplie : ce facteur-là dépend du nombre d’instances démarrées, et de rien d’autre. L’essentiel de la somme part en instances de calcul démarrées dans des régions que personne n’utilise habituellement.

Ce qu’il reste du minage dans le navigateur

Coinhive a annoncé sa fermeture le 26 février 2019 et coupé son service le 8 mars, les tableaux de bord restant consultables jusqu’au 30 avril. Les trois motifs donnés par l’équipe tenaient tous à l’économie du minage : un hashrate divisé par deux après le dernier changement d’algorithme de Monero, un cours de la monnaie en recul de plus de 85 % sur un an, et un nouvel embranchement prévu le 9 mars, le lendemain de la fermeture.

Le coup de grâce est venu huit mois plus tard, avec RandomX. Sa conception réclame 2 080 Mio de mémoire pour tourner en mode rapide, le seul qui serve à miner. Le mode léger, prévu pour la vérification des preuves et non pour la production, tient dans 256 Mio mais avance beaucoup plus lentement. Un onglet de navigateur n’est pas un environnement pour ça. La technique du minage dans la page n’a pas été interdite, elle a été rendue sans objet par l’algorithme qu’elle visait.

Il en reste des ruines actives. Le nom de domaine coinhive.com a été cédé gratuitement à Troy Hunt en 2020, qui y sert un script affichant un avertissement aux visiteurs des sites encore infectés ; il a mesuré autour de cent mille visiteurs uniques par jour, c’est-à-dire autant de navigateurs chargeant encore, depuis des sites jamais nettoyés, un script qui ne mine plus rien depuis des années. Des mineurs dans le navigateur circulent toujours en marge, RedisRaider en hébergeait un sur son infrastructure, mais ils ne sont plus l’affaire principale de personne. Le sujet a migré vers les serveurs, où le processeur est plus gros et surtout allumé en permanence.

Le téléphone, une affaire réglée depuis 2018

Google a modifié le règlement des développeurs Play en juillet 2018 pour y inscrire une règle en deux phrases : les applications qui minent des cryptomonnaies sur l’appareil ne sont pas autorisées, celles qui pilotent à distance un minage effectué ailleurs le restent. C’est cette seconde moitié qui explique le catalogue d’aujourd’hui, où l’on trouve encore des applications présentées comme des mineurs et qui ne calculent rien du tout. Le détail de ce qu’elles font vraiment tient dans ce qu’une application de minage Android exécute réellement sur le téléphone.

L’interdiction n’a rien coûté à personne. Le calcul était déjà perdu. Un téléphone qui atteint 500 hachages par seconde sur RandomX produit 0,5 kilohash par seconde, donc 1,2 centime par jour. Le même téléphone qui tire 5 watts en charge continue consomme 0,12 kWh sur vingt-quatre heures, soit 2,40 centimes au tarif français. Le propriétaire paie deux centimes pour que l’attaquant en gagne un, et il paie deux fois : sur le compteur, puis sur la batterie.

Kaspersky l’a démontré physiquement. Le 18 décembre 2017, l’éditeur a publié l’analyse de Loapi, un cheval de Troie modulaire diffusé par des bannières publicitaires, des applications pour adultes et de faux antivirus. Son module de minage Monero maintenait une charge telle que l’appareil de test a rendu l’âme au bout de deux jours : la batterie avait gonflé au point de déformer le boîtier. Un téléphone est un objet sans dissipation thermique ; il ne survit pas à une charge maximale prolongée. Les promesses de minage gratuit sur mobile se heurtent au même mur.

Les signes, tels qu’on les voit

Ça s’entend avant de se voir. Les ventilateurs tournent en permanence sur une machine qui ne fait rien, y compris la nuit, y compris après avoir tout fermé. Sur un portable, le clavier chauffe et l’autonomie s’effondre.

Le moniteur système confirme : un ou plusieurs cœurs à cent pour cent, en continu, sans qu’aucune application ouverte ne l’explique. Sous Windows, le processus porte souvent un nom crédible, copié sur un service du système ou sur un utilitaire connu.

Vient ensuite le symptôme que personne n’invente : le processus disparaît quand on ouvre le gestionnaire des tâches. Varonis a documenté ce comportement en août 2019 sur une souche baptisée Norman, bâtie autour de XMRig et empaquetée avec UPX. Le programme surveille le lancement du gestionnaire, tue le mineur quand il s’ouvre, et le réinjecte quand il se ferme. La charge processeur retombe au moment exact où l’on regarde, et remonte dès qu’on cesse. Norman s’était propagé sur presque tous les serveurs et postes d’une entreprise de taille moyenne, repérée d’abord par des applications instables et un réseau lent.

Le signe le plus retors est qu’il n’y a rien à voir. L’intrusion chez Tesla maintenait délibérément la charge processeur basse, précisément pour ne rien déclencher. Une consommation modérée mais permanente sur une flotte de serveurs rapporte davantage qu’un pic qui fait sonner une alarme au bout de deux heures.

Le dernier ne s’observe pas sur la machine, mais sur le relevé : une facture cloud qui double ou triple d’un mois sur l’autre, concentrée sur des instances de calcul, souvent dans des régions inhabituelles pour l’organisation. C’est fréquemment par là que la découverte se fait, longtemps après le début. Le détail de la marche à suivre pour savoir si votre propre PC mine à votre insu se traite ailleurs, avec les commandes et les endroits exacts où regarder.

Ce qu’on fait, dans l’ordre

1. Isoler avant de fouiller. Débrancher le réseau ou couper l’interface. Les souches récentes se répliquent : le ver décrit par Trellix le 17 février 2026 se propageait par les supports de stockage externes, ce qui lui ouvrait des machines coupées du réseau.

2. Identifier le processus et sa ligne de commande. Pas seulement son nom, qui ment presque toujours, mais le chemin du binaire, l’utilisateur qui le fait tourner et les arguments passés. L’adresse du pool y figure dans la majorité des cas.

3. Couper la persistance avant de tuer le processus. Un mineur qu’on arrête sans supprimer ce qui le relance revient dans la minute. Les emplacements à vérifier sont connus et peu nombreux : tâches planifiées, entrées cron et fichiers de /etc/cron.d, unités systemd, clés de démarrage du registre, services. RedisRaider ne laisse aucun binaire suspect à l’installation : il écrit une entrée cron par une commande Redis parfaitement légitime, et c’est le planificateur du système qui fait le travail.

4. Changer tous les identifiants que la machine connaissait. Clés SSH, jetons d’API, clés d’accès cloud, mots de passe enregistrés. La compromission de Tesla est partie d’une console ouverte et a livré les identifiants AWS ; la version piégée de ua-parser-js emportait un voleur de mots de passe en plus du mineur.

5. Sur un serveur ou une instance, reconstruire plutôt que nettoyer. Le mineur est bruyant et facile à trouver ; le shell inversé qui l’accompagne ne l’est pas. Les images de docker123321 en embarquaient un, et Kromtech a prévenu que le retrait des images ne fermait pas les accès déjà obtenus. Une instance se redéploie depuis une image saine en quelques minutes, et c’est plus rapide que la certitude d’avoir tout enlevé.

6. Refermer la porte d’entrée. Sans quoi la reconstruction sera recompromise, souvent le jour même. Redis, l’API Docker, un tableau de bord Kubernetes et une interface d’administration n’ont rien à faire face à l’internet sans authentification. Pour les composants applicatifs, c’est le délai de correctif qui décide : 48 heures, c’est le temps qu’a mis XMRig à arriver sur React2Shell.

Le même raisonnement vaut pour une machine virtuelle dédiée au minage, à ceci près qu’on la sait alors compromise depuis l’hôte, et qu’on ne la nettoie pas davantage.

Le mineur qu’on a installé soi-même déclenche exactement la même alerte

C’est le piège classique, et il ne se règle pas en ajoutant une exclusion à l’aveugle. Microsoft l’écrit sans détour dans sa documentation : les mineurs ne sont pas malveillants par nature, des particuliers et des entreprises investissent dans du matériel et de l’électricité pour miner légalement. Ce que Defender fait dépend donc de la façon dont le fichier est arrivé.

La distinction se lit dans la classe de la détection. Microsoft écrit que certains outils de minage ne sont pas des logiciels malveillants et sont détectés comme applications potentiellement indésirables : c’est ce que déclenche un XMRig téléchargé depuis son dépôt officiel. Cette protection-là est un réglage à part, que les administrateurs activent justement pour bloquer les mineurs sur un parc. Une détection en cheval de Troie signale autre chose, et l’éditeur documente la chaîne correspondante : un document Word abusant du protocole DDE, un script PowerShell, puis un XMRig trafiqué.

Quatre questions séparent les deux cas, et elles se posent en trente secondes. Qui a lancé le programme, vous ou un service ? D’où vient le binaire, du dépôt du projet ou d’un répertoire temporaire ? Sous quel compte tourne-t-il, le vôtre ou celui d’un service système ? Vers quel pool et quel portefeuille pointe sa ligne de commande, le vôtre ou une adresse que vous n’avez jamais vue ? Un mineur légitime répond correctement aux quatre. Les campagnes décrites plus haut échouent à toutes : elles s’exécutent depuis /tmp, sous un compte de service, vers un portefeuille inconnu.

Une nuance mérite d’être connue avant de crier au faux positif. Trellix a décrit le 17 février 2026 une campagne qui installait un pilote légitime de supervision matérielle, WinRing0x64.sys, pour exploiter la faille CVE-2020-14979 et obtenir des privilèges de bas niveau sur le processeur. L’objectif n’était pas d’ouvrir une porte, mais de régler la puce plus finement et de gagner de 15 à 50 % de hashrate RandomX. Le pilote, lui, est le même que celui qu’embarquent des utilitaires de mesure parfaitement honnêtes. Une alerte sur ce pilote ne dit donc pas à elle seule de quel côté on se trouve, et le contexte tranche mieux que le nom du fichier.

Choisir un mineur, le télécharger depuis le bon endroit et déclarer l’exclusion qui va bien relève de l’installation d’un logiciel de minage sous Windows, où le sujet se traite en détail. Devant une alerte, le geste qui renseigne le plus vite reste de lire l’adresse du pool dans la ligne de commande, puis de vérifier si la monnaie que le binaire prétend miner se mine encore avec ce matériel. Faire taire l’alerte vient après, jamais avant.

Un mot sur le vocabulaire, parce que les termes se mélangent. Le cryptojacking désigne le détournement de puissance de calcul, rien d’autre. Le vol de portefeuille et le rançongiciel voyagent souvent dans les mêmes campagnes, avec les mêmes accès et parfois le même binaire, sans être la même chose pour autant. Les autres mots du domaine, hashrate, pool, dev fee, difficulté, tiennent dans le vocabulaire du minage. Quant à la division qui rend le cryptojacking rentable pour un attaquant, elle sert aussi à démonter les offres commerciales impossibles : c’est le calcul qui démasque une fausse offre de minage, appliqué dans l’autre sens.

Miner chez soi reste parfaitement légal en France, y compris avec un matériel modeste, et rien de ce qui précède ne change ce point : ce que la loi française autorise au mineur se lit à part. L’illégalité commence au processeur d’un autre.