Un antivirus classique basé sur des signatures ne suffit pas contre les miners polymorphes modernes. Un Endpoint Detection and Response (EDR) analyse les comportements en temps réel et détecte les mineurs même inconnus via leurs patterns d’utilisation CPU, leurs communications réseau caractéristiques et leurs comportements de persistance. Les solutions CrowdStrike Falcon ou SentinelOne incluent des modules spécifiques anti-cryptomining.
Votre serveur tourne en permanence à 90 % de charge CPU. Votre facture d’électricité a mystérieusement augmenté de 30 % ce trimestre. Vos applications métier rament sans raison apparente. Vous pensez à un problème matériel ou à une mauvaise configuration. Mais la vraie cause est peut-être bien plus inquiétante : des hackers utilisent silencieusement votre infrastructure pour miner des cryptomonnaies à votre insu, et encaissent des bénéfices pendant que vous payez la facture.
C’est ce qu’on appelle le cryptojacking, l’une des cybermenaces les plus difficiles à détecter car elle ne vole pas vos données et ne chiffre pas vos fichiers. Elle se contente de parasiter vos ressources informatiques de manière totalement transparente, parfois pendant des mois sans être détectée. Selon les estimations de Kaspersky, le cryptojacking a augmenté de 230 % en 2024, avec les PME et leurs serveurs souvent mal surveillés comme cibles prioritaires.
Qu’est-ce que le cryptojacking ?
Le cryptojacking (ou « minage illicite de cryptomonnaies ») est une forme d’attaque informatique dans laquelle un attaquant installe subrepticement un logiciel de minage sur les systèmes d’une victime, serveurs, postes de travail, appareils mobiles, voire navigateurs web, pour générer des cryptomonnaies à son profit.
Le minage de cryptomonnaies (en particulier Monero, Ethereum Classic ou Zcash, qui sont privilégiés par les cybercriminels pour leur anonymat) nécessite une puissance de calcul considérable. En infectant des centaines ou des milliers de machines, les attaquants constituenten un réseau de minage distribué extrêmement rentable, sans jamais avoir à investir dans du matériel ou à payer d’électricité.
La différence fondamentale avec un ransomware ou un vol de données : le cryptojacking est conçu pour rester invisible le plus longtemps possible. L’attaquant n’a aucun intérêt à se faire repérer car chaque heure supplémentaire sur vos systèmes est de l’argent généré pour lui.
Comment fonctionne une attaque de cryptojacking ?
Il existe deux grandes familles de cryptojacking, très différentes dans leur mode opératoire :
Le cryptojacking via malware (file-based)
L’attaquant installe un programme de minage directement sur les serveurs ou postes de travail de la victime. Ce programme s’exécute en arrière-plan, souvent déguisé sous un nom de processus légitime (svchost.exe, lsass.exe, update.exe). Il utilise le CPU et/ou le GPU de la machine de manière intensive, 24h/24. Ce type de cryptojacking est le plus persistant et le plus difficile à éradiquer car il peut se réinstaller automatiquement et maintenir un accès permanent à votre réseau.
Le cryptojacking via navigateur (browser-based)
Un script JavaScript malveillant est intégré dans un site web (souvent via une compromission du CMS ou de bibliothèques tierces). Lorsque l’un de vos employés visite ce site, le script s’exécute dans son navigateur et utilise les ressources de son poste pour miner. Ce type de cryptojacking s’arrête à la fermeture du navigateur mais ne nécessite aucune installation ; il est donc très difficile à détecter avec les antivirus classiques.
Le cryptojacking ciblant les infrastructures cloud
C’est la variante la plus récente et la plus coûteuse pour les PME. Les attaquants compromettent les accès AWS, Azure ou GCP (souvent via des clés API exposées ou des mauvaises configurations) et lancent des instances de calcul massives pour miner des cryptomonnaies. La facture cloud peut exploser en quelques heures, pouvant atteindre des dizaines de milliers d’euros avant que l’alerte ne soit déclenchée.
Les vecteurs d’infection : comment les attaquants entrent dans vos systèmes
- Phishing et pièces jointes malveillantes : un email piégé télécharge et exécute silencieusement le miner. C’est le vecteur le plus courant. Voir notre guide sur le phishing en 2025 pour comprendre les nouvelles techniques.
- Exploitation de vulnérabilités non patchées : les miners exploitent des failles connues dans les serveurs web, CMS (WordPress, Drupal), frameworks et services exposés sur internet. Un seul serveur non mis à jour est une porte ouverte.
- Supply chain compromise : un plugin ou une bibliothèque open source intègre discrètement un script de minage dans son code. Voir notre article sur les attaques par supply chain.
- Brute force SSH/RDP : les serveurs exposant SSH ou RDP avec des mots de passe faibles sont scanners automatiquement et compromis en quelques minutes.
- Containers mal configurés : les environnements Docker et Kubernetes avec des API exposées publiquement sont des cibles très prisées pour le déploiement de miners à grande échelle.
- Clés API cloud exposées : des clés AWS ou Azure accidentellement commitées sur GitHub sont récupérées par des bots en quelques minutes et utilisées pour lancer des instances de calcul.
Comment détecter le cryptojacking dans votre PME
La difficulté du cryptojacking réside précisément dans sa discrétion. Voici les signaux d’alerte à surveiller et les méthodes de détection :
Signaux d’alerte à ne pas ignorer
- 🔴 Charge CPU/GPU anormalement élevée en dehors des heures de travail ou sans tâche intensive apparente
- 🔴 Ralentissement inexpliqué des serveurs, des applications ou des postes de travail
- 🔴 Augmentation de la facture électrique sans justification opérationnelle
- 🔴 Surchauffe des équipements (ventilateurs tournant en permanence à pleine vitesse)
- 🔴 Pic de consommation réseau vers des adresses IP inconnues, souvent dans des pays à risque
- 🔴 Facture cloud AWS/Azure qui s’envole sans nouveau projet ou campagne justifiant l’augmentation
Méthodes de détection technique
- Monitoring des processus : analysez les processus consommant le plus de CPU avec Task Manager (Windows), top/htop (Linux). Cherchez des processus avec des noms inhabituels ou qui tournent en continu.
- Analyse des connexions réseau sortantes : les miners se connectent à des mining pools sur des ports spécifiques (3333, 4444, 5555, 7777, 9999). Un firewall configuré pour logger les connexions sortantes les détectera.
- Surveillance des logs serveur : recherchez des erreurs d’authentification répétées, des téléchargements de scripts inconnus, ou des exécutions de commandes curl/wget inhabituelles.
- SIEM et UEBA : les solutions de SIEM et UEBA détectent automatiquement les comportements anormaux de consommation de ressources et les communications réseau suspectes.
- Antivirus avec protection spécifique au cryptomining : les solutions EDR modernes comme CrowdStrike ou SentinelOne intègrent des signatures de détection des miners connus.
6 mesures pour protéger votre PME contre le cryptojacking
1. Mettre à jour systématiquement tous vos systèmes
La grande majorité des infections par cryptominer exploitent des vulnérabilités connues et corrigées dans des systèmes non mis à jour. Un processus de patch management rigoureux est la première et la plus efficace des défenses. Appliquez les patchs de sécurité critiques dans les 72 heures suivant leur publication, en particulier sur les serveurs exposés à internet.
2. Restreindre les connexions réseau sortantes
Configurez votre firewall pour bloquer toutes les connexions sortantes non explicitement autorisées (politique whitelist). Bloquez spécifiquement les ports utilisés par les mining pools (3333, 4444, 5555, 7777, 9999) et les connexions vers les domaines de minage connus. La plupart des miners s’arrêtent immédiatement s’ils ne peuvent pas se connecter à leur pool.
3. Déployer un EDR sur tous les serveurs et postes
Un antivirus classique basé sur des signatures ne suffit pas contre les miners polymorphes modernes. Un Endpoint Detection and Response (EDR) analyse les comportements en temps réel et détecte les mineurs même inconnus via leurs patterns d’utilisation CPU, leurs communications réseau caractéristiques et leurs comportements de persistance. Les solutions CrowdStrike Falcon ou SentinelOne incluent des modules spécifiques anti-cryptomining.
4. Sécuriser vos accès SSH, RDP et API
Désactivez SSH et RDP sur les serveurs qui n’en ont pas besoin. Sur les serveurs qui en ont besoin, imposez une authentification par clé SSH (pas de mot de passe), changez le port par défaut, et utilisez un VPN ou ZTNA pour y accéder. Activez le MFA sur tous les accès distants sans exception.
5. Mettre en place un monitoring de ressources avec alertes
Configurez des alertes automatiques lorsque la consommation CPU dépasse un seuil anormal (ex : >80 % en dehors des heures ouvrées), lorsque la consommation réseau sortante atteint un pic inhabituel, ou lorsque la facture cloud dépasse un certain montant. Des outils comme Datadog, Grafana, Zabbix ou les alertes natives AWS/Azure permettent une détection rapide. Dans le cloud, activez les budgets d’alerte et les limites de dépenses.
6. Former les employés aux risques du téléchargement et du phishing
Beaucoup d’infections par cryptominer commencent par un email de phishing ou un logiciel téléchargé depuis une source non officielle. Former vos employés à ne jamais télécharger de logiciels non approuvés, à détecter les emails suspects et à signaler immédiatement tout comportement anormal de leur machine est une mesure simple mais très efficace.
Que faire si vous êtes victime de cryptojacking ?
🚨 Plan de réponse immédiat
- Isolez la machine infectée du réseau pour éviter la propagation
- Identifiez le processus malveillant (Task Manager, ps aux) et notez son nom exact
- Analysez les logs pour déterminer comment le miner est entré dans votre système
- Lancez un scan EDR/antivirus complet sur l’ensemble de l’infrastructure
- Purgez les accès compromis : changez tous les mots de passe et révoquez les clés API suspectes
- Appliquez les patchs manquants avant de remettre la machine en production
- Signalez l’incident à l’ANSSI si votre activité est critique (santé, énergie, finance)
Consultez notre guide complet sur le plan de réponse à incident pour PME pour une méthodologie complète. Pensez également à vérifier que votre audit cybersécurité couvre bien les points d’entrée utilisés par l’attaquant.
FAQ : Cryptojacking et PME
Le cryptojacking est-il considéré comme une infraction pénale en France ?
Oui, absolument. Le cryptojacking constitue en France une atteinte aux systèmes de traitement automatisé de données (STAD), réprimée par les articles 323-1 et suivants du Code pénal. Les peines peuvent aller jusqu’à 3 ans d’emprisonnement et 100 000 euros d’amende pour l’accès non autorisé à un système informatique, avec des peines aggravées si des données ont été modifiées ou supprimées.
Quelle est la différence entre cryptojacking et ransomware ?
Le ransomware chiffre vos données et exige une rançon, il est immédiatement visible et cause des dommages directs à votre activité. Le cryptojacking au contraire cherche à rester invisible : il ne vole pas vos données et ne perturbe pas (trop) votre activité. Son impact est plus insidieux : dégradation des performances, augmentation des coûts énergétiques, usure prématurée du matériel, et risque que l’accès initial serve de tête de pont pour une attaque plus grave ultérieurement.
Peut-on se faire cryptojacker via un simple site web visité ?
Oui, c’est le cryptojacking « browser-based ». Un script JavaScript malveillant intégré dans une page web (site légitime compromis ou site pirate) peut utiliser les ressources de votre ordinateur pour miner des cryptos pendant toute la durée de votre visite. Certains sites pirates de streaming ou de téléchargement utilisent intentionnellement cette technique. L’utilisation d’un bloqueur de publicités et d’extensions spécialisées comme No Coin ou minerBlock dans votre navigateur protège efficacement contre cette variante.
Quelles cryptomonnaies les attaquants préfèrent-ils miner ?
Les cybercriminels préfèrent massivement le Monero (XMR) pour le cryptojacking, et ce pour plusieurs raisons : il est conçu pour être minable avec des CPU standards (pas besoin de GPU haute performance), il offre une confidentialité des transactions quasi totale (contrairement au Bitcoin), et il est facilement convertible en autres devises. Zcash, Ethereum Classic et Ravencoin sont également utilisés selon les configurations matérielles compromises.
Mon hébergeur peut-il détecter le cryptojacking sur mon serveur ?
Les hébergeurs surveillent généralement la consommation de ressources et peuvent détecter des pics anormaux. OVHcloud, Scaleway et d’autres hébergeurs français envoient des alertes ou suspendent des serveurs en cas de consommation CPU excessive et inhabituelle. Cependant, cette détection n’est pas garantie et intervient souvent après que l’attaque a déjà duré plusieurs heures ou jours. Un SOC IA ou un monitoring actif de vos propres systèmes reste indispensable.
Conclusion : une menace silencieuse qui coûte cher
Le cryptojacking est une menace souvent sous-estimée par les PME parce qu’elle ne déclenche pas d’alarme immédiate. Pas de données volées, pas de message de rançon, pas d’interruption visible de service. Mais derrière cette discrétion se cachent des coûts réels, énergie, dégradation matérielle, ralentissement des performances, et surtout un accès persistant à votre infrastructure qui peut à tout moment évoluer vers une attaque bien plus grave : vol de données, déploiement de ransomware, espionnage industriel.
La bonne nouvelle : les mesures de protection contre le cryptojacking sont les mêmes que celles qui protègent contre l’ensemble des cybermenaces, mises à jour régulières, EDR, monitoring réseau, restriction des accès. Intégrez la détection du cryptomining à votre stratégie globale de cybersécurité PME et consultez notre checklist des 10 actions cybersécurité prioritaires.
