Une mystérieuse opération de crypto-minage automatisée a été capturée en utilisant plus de 30 comptes GitHub gratuits pour produire une série de jetons obscurs dans un essai à blanc présumé avant de se tourner vers des devises plus connues.
D’après une rapport de The Register, l'opération, surnommée Purpleurchin, utilise les comptes GitHub, ainsi que plus de 2,000 900 comptes Heroku et XNUMX Buddy devops pour alimenter ses efforts de minage.
La tactique s'appelle le « freejacking » et consiste à prendre en charge la puissance de calcul allouée aux comptes d'essai gratuits sur les plates-formes de services d'intégration et de déploiement continus (CI/CD).
Les chercheurs dire que l'équipe responsable n'a jusqu'à présent miné une poignée de jetons peu connus, y compris Sugarchain, Tidecoin Onyx, Yenten, Sprint et Bitweb, et à ce titre n'auront enregistré que de très faibles marges bénéficiaires.
Cependant, on soupçonne qu'ils ne font que s'échauffer et utiliser le système à relativement petite échelle comme écran de fumée pour quelque chose de beaucoup plus lucratif - peut-être même une attaque contre la blockchain sous-jacente qui pourrait, en théorie, rapporter des millions en bitcoin ou en monero.
« Nous pouvons affirmer avec un degré de confiance moyen que l'acteur a expérimenté différentes pièces», ont déclaré les chercheurs à The Register (nous soulignons).
"Cette opération à grande échelle pourrait être un leurre pour d'autres activités néfastes."
Lire la suite: Cette mise à jour de Bitcoin Core protégera les opérateurs de nœuds complets contre les hacks
Le complot de Purpleurchin pourrait laisser les vrais utilisateurs hors de leur poche
Bien que des fournisseurs comme GitHub utilisent un certain nombre de tactiques - y compris des formulaires CAPTCHA de plus en plus compliqués et nécessitant des informations de carte de crédit - pour combattre des attaques comme celles-ci, cette équipe est considérée comme particulièrement sophistiquée.
Selon les chercheurs, chacun des comptes GitHub gratuits coûte au propriétaire de la plateforme, Microsoft, 15 $ par mois, les comptes gratuits de Heroku et Buddy coûtant environ 10 $.
« À ces tarifs, il faudrait coûter plus de 100,000 XNUMX $ à un fournisseur pour qu'un acteur malveillant exploite un monero (XMR) », ont déclaré des experts au registre.
Malheureusement, pour les utilisateurs de services cloud légitimes, ces coûts leur seront probablement répercutés par GitHub et al. pour couvrir le manque à gagner de leur côté. Les opérations minières illégales pourraient également consommer des ressources qui réduisent les performances offertes aux clients payants.
Pour des nouvelles plus informées, suivez-nous sur Twitter ainsi que Google Actualités ou écoutez notre podcast d'investigation Innové : Blockchain City.
Source : https://protos.com/stealthy-crypto-miners-loot-altcoins-with-github-trial-accounts/