Se protéger du cryptojacking : ce qui bloque vraiment, couche par couche

Se protéger du cryptojacking, dans à peu près tous les articles qui traitent le sujet, revient à la même liste : un antivirus, un bloqueur de publicité, un VPN et le conseil de désactiver JavaScript. Elle est courte à lire et facile à recopier. Elle ne dit jamais à quel moment chacun de ces outils intervient, ni lequel tourne déjà sur votre machine sans que vous l'ayez demandé, ni lequel n'intervient nulle part. C'est pourtant là que ça se joue.

Trois couches, et une seule est déjà en place

Un minage clandestin passe par un chemin court : du code arrive, il s'exécute, il ouvre une connexion vers un pool pour recevoir du travail et rendre ses résultats. Trois endroits, donc, où on peut couper.

Le premier est le navigateur. Il ne concerne qu'une seule forme d'attaque, le script chargé par une page, et il se règle avec des listes de domaines. C'est aussi le seul des trois qui arrive déjà branché.

Le deuxième est le système : un fichier arrive sur le disque, quelque chose le lance. C'est le terrain de l'antivirus. La classification qu'il applique au fichier décide de tout.

Le troisième est le réseau. Un mineur qui n'atteint pas son pool produit du vide. Cette couche a l'avantage de fonctionner sans rien savoir de la tête qu'a le programme.

Le VPN n'occupe aucune de ces trois positions.

Le navigateur : Firefox bloque depuis 2019, Chrome a perdu son bloqueur

Mozilla a publié le 3 septembre 2019 un billet intitulé Today's Firefox Blocks Third-Party Tracking Cookies and Cryptomining by Default. Le blocage des mineurs est passé ce jour-là dans le mode Standard, celui qu'a tout le monde, et non dans le mode strict qu'il faut aller chercher. Il s'appuie sur les listes de Disconnect. Sept ans plus tard, un utilisateur de Firefox qui n'a jamais touché à ses réglages a déjà sur sa machine la protection que les articles lui conseillent d'installer. Personne ne le lui a dit. Le réglage se vérifie dans les préférences, à la section vie privée et sécurité, où le niveau Standard suffit à couvrir le sujet.

Chez Brave, les Shields sont actifs par défaut et bloquent les scripts tiers connus pour pister. La page officielle qui décrit la fonction énumère les publicités, les traqueurs, les cookies intersites, l'hameçonnage et les empreintes de navigateur. Le minage n'y figure pas nommément. Les domaines de minage tombent quand même, parce qu'ils sont dans les listes que Brave charge.

Chrome, lui, a changé de camp. Le calendrier officiel de retrait de Manifest V2 se lit comme une trajectoire : avertissements sur les canaux de test le 3 juin 2024, extinction progressive sur le canal stable le 9 octobre 2024, désactivation par défaut sur tous les canaux le 31 mars 2025, puis le 24 juillet 2025 la version 138, où la réactivation manuelle disparaît. Le retrait des dernières extensions Manifest V2 du Chrome Web Store est fixé au 31 août 2026.

Il reste uBlock Origin Lite, dont la documentation dit franchement ce que l'extension a perdu. Le filtrage dynamique ne peut pas être porté, faute d'API capable d'appliquer une règle à partir de l'adresse affichée dans la barre. Surtout, la façon dont les listes vivent a changé : « There are no filter lists proper in uBOL. There are declarative rulesets and scripts which are the results of compiling filter lists when the extension package is generated. » Autrement dit, une liste de blocage se met à jour au rythme des versions de l'extension, pas au sien. Elle ne vit plus sa vie. Pour une défense qui repose entièrement sur la fraîcheur d'une liste de domaines, c'est un changement de nature.

Google interdit à ses extensions de miner. La règle du Chrome Web Store tient en une phrase, « We do not allow the mining of cryptocurrency », et elle date d'avril 2018. Elle vise les extensions elles-mêmes, pas les pages qu'on visite.

La liste anti-minage la plus installée protège d'un internet qui a fermé

Quand un bloqueur arrête un mineur dans une page, il le fait grâce à une liste de domaines. La plus connue s'appelle NoCoin, elle est proposée dans les bloqueurs courants, et elle sert de référence à peu près partout. Le 14 août 2026, sa version 228 porte la date du 20 mai 2026. Le fichier paraît bien tenu. Il porte 205 domaines exploitables, une fois écartées ses deux règles à joker.

Interrogés un par un le même jour, ces domaines donnent ceci :

État du domaine, au 14 août 2026	Nombre
Aucun enregistrement DNS	62
Résout, mais ne répond sur aucun port web	21
Répond par une erreur 4xx ou 5xx	25
Répond normalement	97

Moins d'un domaine sur deux répond encore. Et répondre ne veut pas dire miner : beaucoup de ces adresses ont été revendues, garées, ou servent aujourd'hui une page sans rapport. L'historique du dépôt raconte la même chose. Depuis 2024, les modifications apportées à la liste sont pour la plupart des retraits : un faux positif enlevé, des domaines Nimiq supprimés, un nom qui déménage. On ne maintient plus une liste offensive, on nettoie un inventaire.

Le projet fait ce qu'il peut ; c'est le terrain qui s'est vidé. Miner dans un navigateur a cessé de rapporter quand Monero est passé à RandomX, un algorithme qui réclame plus de deux gigaoctets de mémoire pour tourner en mode rapide, ce qu'un onglet ne fournit pas ; l'histoire de cette bascule et de la fermeture de Coinhive se lit ailleurs sur ce site. Installer la liste ne coûte rien et ne gêne personne. En faire sa protection principale revient à verrouiller une porte dans un mur qui n'existe plus.

L'antivirus classe le minage dans une case réservée aux entreprises

Microsoft publie sa grille de classement des programmes. La catégorie des applications potentiellement indésirables y compte sept familles, et l'une d'elles porte une mention entre parenthèses : « Cryptomining software (Enterprise only): Software that uses your device resources to mine cryptocurrencies. »

Enterprise only. Sur un poste personnel, le logiciel de minage ne relève pas de cette catégorie. Chez un particulier, l'alerte vient d'ailleurs : de la signature d'un cheval de Troie, quand le binaire arrive empaqueté avec une charge malveillante, ou de l'analyse des scripts par l'interface AMSI de Windows. Un mineur nu, posé sur le disque et lancé par une tâche planifiée, ne coche ni l'une ni l'autre par sa seule nature.

Le réglage existe pourtant. Le vérifier prend vingt secondes :

Get-MpPreference | Format-Table PUAProtection

La valeur 0 signifie que la protection est éteinte, 1 qu'elle bloque, 2 qu'elle se contente d'observer. La documentation de Microsoft donne cette troisième valeur pour le réglage par défaut des machines qui ne sont pas rattachées à Defender for Endpoint, dès lors que leurs signatures dépassent la version 1.329.495.0. La détection a lieu, personne ne l'arrête, et elle part dans le journal d'événements plutôt qu'à l'écran. Le passage en blocage tient en une ligne :

Set-MpPreference -PUAProtection Enabled

La même asymétrie se retrouve un cran plus haut. Le 26 avril 2021, Microsoft a annoncé l'intégration d'Intel Threat Detection Technology à sa suite de sécurité : la technologie applique de l'apprentissage automatique aux compteurs de performance du processeur pour reconnaître la signature d'exécution d'un mineur, sans lire un seul fichier. Elle réclame un processeur Intel Core ou une plateforme vPro de sixième génération au minimum, et elle vit dans Defender for Endpoint. Le détecteur le plus spécifiquement taillé pour le minage clandestin regarde donc le silicium, et il se vend aux directions informatiques.

Le revers de cette classification, c'est l'alerte que déclenche un mineur qu'on a soi-même installé. Ce cas se traite en même temps que l'installation d'un logiciel de minage sous Windows, où l'exclusion se pose proprement plutôt qu'à l'aveugle.

Le pare-feu laisse tout sortir, et c'est par là que ça part

Un mineur coupé du monde ne produit rien. Il lui faut un pool : recevoir un travail, renvoyer des parts, sans quoi le calcul tourne dans le vide. Cette connexion est le point faible de l'opération. Elle existe quelle que soit la façon dont le code est arrivé sur la machine.

Or Microsoft écrit noir sur blanc, dans la documentation du pare-feu Windows : « By default, Windows Firewall allows all outbound network traffic, unless it matches a rule that prohibits the traffic. » Le pare-feu que tout le monde croit actif filtre ce qui entre. Ce qui sort passe. Le programme installé sur la machine n'a donc rien à contourner pour joindre son pool.

D'où l'idée, répandue, de fermer « les ports de minage ». Deux pools Monero suffisent à l'enterrer. XMRig donne dans sa propre documentation l'exemple pool.hashvault.pro:443 ; l'interface publique de ce pool ne publie effectivement que des points de connexion sur le port 443, tous en TLS, dont un qui comptait 102 978 mineurs le 14 août 2026. MoneroOcean, lui, en publie trente, du 80 au 28192, dont la moitié chiffrés. Un numéro de port ne prouve rien. Une règle qui fermerait le premier vous coupe le web ; une règle qui fermerait les trente autres ne gêne pas celui qui bascule sur le premier.

La règle qui sert vraiment vise le programme, pas le port. Quand un exécutable inconnu s'est installé dans un répertoire temporaire, c'est lui qu'on empêche de sortir :

New-NetFirewallRule -DisplayName "Sortie bloquee" -Direction Outbound `
  -Program "C:\Users\Public\svchosts.exe" -Action Block

Au-dessus, ce qui tient se joue sur le nom plutôt que sur le numéro : un résolveur DNS qui refuse les adresses de pools, et dans une entreprise une politique de sortie en liste blanche, où l'on autorise ce dont on a besoin au lieu d'interdire ce qu'on redoute.

Le VPN ne bloque rien, et son éditeur le dit à sa façon

Le tunnel chiffre le trajet entre votre machine et un serveur, et il remplace l'adresse IP que voient les sites. Rien dans cette description ne concerne l'exécution d'un programme. Un script de minage chargé par une page s'exécute sur votre processeur, à l'intérieur du tunnel ; un binaire installé sur le disque s'exécute pareillement, et le tunnel transporte ses parts vers le pool avec la même fidélité que le reste de votre trafic. Il les chiffre, même. La connexion du mineur se trouve ainsi mise à l'abri des regards du réseau local.

Le plus honnête sur ce point est encore la documentation des vendeurs. Chez NordVPN, deux fonctions coexistent sous des noms voisins. Celle qui filtre par DNS « requires an active VPN connection to function », précise la page d'assistance. L'autre, qui bloque les URL malveillantes et analyse les fichiers téléchargés, fonctionne sans que le tunnel soit monté, parce qu'elle ne passe pas par lui : c'est un filtre local installé à côté.

Un abonnement VPN qui vous protège de quelque chose vous protège par son module de filtrage, pas par son tunnel. Ce module se juge alors comme un antivirus : sur ses listes, sa fréquence de mise à jour, ses faux positifs. Le tunnel, lui, répond à une autre question.

La protection la moins chère consiste à ne pas exécuter le code des autres

Tout ce qui précède intervient après coup, sur du code déjà présent. En amont, deux décisions pèsent plus lourd que n'importe quel produit, et elles ne coûtent rien.

La première tient à ce qui est joignable depuis l'internet. Une base de données, une interface d'administration ou une API de conteneurs qui répond sans authentification finit enrôlée, et le délai se compte en heures. S'y ajoute le temps qui sépare la publication d'un correctif de son application, parce que les campagnes de minage arrivent dans les tout premiers jours ; les voies d'entrée relevées ces dernières années se ressemblent toutes sur ce point.

La seconde concerne les dépendances, et c'est celle dont on parle le moins. La documentation de npm est explicite : l'option ignore-scripts vaut false par défaut, autrement dit installer un paquet exécute les scripts que son auteur y a placés. Un compte de mainteneur détourné pendant quatre heures suffit alors à poser un mineur sur toutes les machines qui ont reconstruit pendant ce créneau. Installer depuis un fichier de verrouillage, avec npm ci --ignore-scripts, referme cette porte pour le prix d'un argument.

Ce que le minage caché prend, et ce qu'il ne prend pas

Un mineur clandestin vole des cycles de processeur et de l'électricité. Rien d'autre. Il ne lit pas votre historique de navigation, ne vide aucun portefeuille et ne revend pas votre profil. Choisir un portefeuille discret ou masquer son adresse IP ne change donc rien à sa présence.

La confusion a pourtant un fond réel : le mineur voyage rarement seul. La bibliothèque npm piégée en octobre 2021 emportait, sous Windows, un voleur de mots de passe en plus du mineur ; l'intrusion chez Tesla, en 2018, a commencé par une console ouverte et livré au passage des identifiants d'accès au cloud du constructeur. Le calcul volé est la partie visible, celle qui fait chauffer la machine. La confidentialité, elle, se joue sur ce qui est entré en même temps.

La conséquence est pratique. Après une infection, on change les clés SSH, les jetons d'API et les mots de passe enregistrés sur la machine, pas son fournisseur de tunnel chiffré. Puis on cherche la porte d'entrée. Elle est encore ouverte, et elle laissera passer la campagne suivante.

Ce qu'on met en place, dans l'ordre

1. Regarder ce qui est déjà actif. Sous Firefox, la protection contre les mineurs tourne depuis 2019 sans réglage. Sous Chrome, savoir si votre bloqueur est la version complète ou la version allégée, dont les listes ne bougent qu'aux mises à jour de l'extension.

2. Vérifier la valeur de PUAProtection. Une machine qui répond 2 détecte et laisse faire. Une qui répond 0 ne regarde même pas.

3. Poser la couche réseau. Un résolveur DNS filtrant pour le quotidien, une règle de sortie par programme le jour où un exécutable inconnu apparaît. Le blocage par numéro de port ne survit pas au premier pool en 443.

4. Fermer ce qui n'a rien à faire dehors. Appliquer les correctifs vite. Installer les dépendances sans exécuter leurs scripts.

5. Surveiller la charge et la facture. Un processeur à cent pour cent la nuit, une consommation cloud qui change d'ordre de grandeur : la marche à suivre pour savoir si votre machine mine à votre insu est détaillée à part, et ce qu'on fait une fois le mineur trouvé également.

La liste habituelle contient à peu près les bons outils, dans le mauvais ordre : elle ouvre sur celui qui n'agit pas et garde pour la fin la seule couche qui se moque de savoir par où le code est arrivé. Reste le cas inverse, celui du minage qu'on assume : ce que la loi française autorise au mineur se lit ailleurs, et cette page-là parle d'une électricité qu'on paie volontiers.