L’histoire pourrait être le pitch du dernier James Bond version crypto, tellement cela semble énorme. C’est pourtant bien la réalité révélée à la mi-mai 2020. Des supercalculateurs européens ont été utilisés pour miner des cryptomonnaies à l’insu de leurs propriétaires et utilisateurs. Un cryptojacking de haut vol qui a longtemps laissé planer le doute sur ses intentions.

L’information a été rendue publique en mai 2020 par des sites spécialisés en sécurité informatique. Il est question du détournement de plusieurs supercalculateurs européens à des fins de minage de cryptomonnaies. Le nombre de « victimes » s’élève à au moins une douzaine d’organisations, réparties entre le Royaume-Uni, l’Allemagne, la Suisse et l’Espagne.

Le premier cas signalé est la machine ARCHER, à l’Université d’Édimbourg, mise hors ligne le 11 mai 2020 pour réinitialiser mots de passe et clés SSH ; cinq calculateurs du réseau allemand bwHPC ont suivi. Les pirates ont utilisé des identifiants SSH dérobés à des universités canadiennes, chinoises et polonaises invitées à accéder à ces infrastructures, avant d’exploiter une faille Linux pour obtenir les droits administrateur et installer un logiciel de minage pour la cryptomonnaie anonyme Monero (XMR). Dans au moins un cas, relève le CSIRT de l’European Grid Infrastructure, le mineur ne tournait que la nuit pour ne pas éveiller les soupçons.

Des outils dédiés au coronavirus

Plusieurs des supercalculateurs visés servaient à effectuer des analyses en relation à l’épidémie de coronavirus. Pour des raisons de sécurité évidentes, les machines infectées ont dû être placées hors ligne, retardant des travaux censés servir à la gestion de la pandémie en cours. Mais ce n’est pas tout.

Cette attaque a également éveillé les soupçons de spécialistes en sécurité : le minage aurait pu masquer une intrusion visant des données bien plus sensibles. Cette piste n’a jamais été étayée, et aucun auteur n’a été identifié ni poursuivi. ARCHER n’a rouvert qu’au prix d’une double authentification imposée à ses utilisateurs. Le cryptojacking, lui, n’a pas disparu : il s’est déplacé vers le cloud et les conteneurs mal configurés, où Google observait encore en 2025 des mineurs déployés sur des instances exposées en moins d’une heure.

Nous ajouter à vos sources préférées sur Google
EN DIRECT