Les sites utilisent votre navigateur pour extraire Crypto. Ça pourrait être une bonne chose

Le nom dit tout: WannaMine. Panda, une entreprise espagnole spécialisée dans la cybersécurité basée à Bilbao, a écrit au début du mois de février qu '"une nouvelle variante de malware a envahi les ordinateurs du monde entier, les détournant pour exploiter une crypto-monnaie appelée Monero".

Le virus rappelle WannaCry, un ver qui a balayé le monde en mai 2017, cryptant les données des systèmes infectés et exigeant le paiement d'une rançon bitcoin afin de le décrypter. Mais WannaMine adopte une approche différente pour extraire la crypto-monnaie de ses victimes: il utilise la puissance de traitement de leurs machines pour exécuter un algorithme appelé CryptoNight encore et encore, dans l'espoir de trouver un hachage répondant à certains critères avant les autres mineurs. Lorsque cela se produit, un nouveau bloc est extrait, créant un bloc de nouveau monéro - d’une valeur d’environ 1 500 dollars au moment de la rédaction de cet article - et déposant l’argent inattendu dans le porte-monnaie de l’attaquant.

Les chances qu'un mineur donné trouve d'abord le prochain bloc et reçoive la récompense sont minimes, mais infectez suffisamment de processeurs et vous pouvez créer un flux de revenus décent. Étant donné que la victime paie les factures d’électricité et fournit le matériel, les coûts pour l’attaquant sont négligeables. (Voir aussi, Comment fonctionne l'exploitation minière Bitcoin? )

"Une preuve de concept"

Le 11 février, une attaque similaire mais un peu plus spectaculaire a été découverte. Les chercheurs en cybersécurité Scott Helme et Ian Thornton-Trump (phat_hobbit) ont remarqué que des sites allant du National Health Service du Royaume-Uni aux tribunaux américains détournaient les navigateurs des visiteurs pour exploiter Monero.

Ummm, alors oui, c'est * mauvais *. Je viens de faire remarquer à @phat_hobbit que @ICOnews a installé un cryptominer sur son site ... pic.twitter.com/xQhspR7A2f
- Scott Helme (@Scott_Helme) 11 février 2018

Le coupable était un plug-in de synthèse vocale populaire, connu des gouvernements anglophones, appelé Browsealoud, qui avait été infecté par Coinhive, un mineur de navigateur intégré au navigateur qui n'est pas nécessairement un logiciel malveillant en soi: ses fournisseurs le présentent comme un moyen légitime de monétiser le trafic, mais demander à leurs utilisateurs beaucoup trop peu de questions, selon la carte mère.

Jusqu'ici, donc 2018. Mais quelque chose ne va pas. Les attaquants n'ont rien fait: environ 24 dollars, qui n'ont même pas été payés, a déclaré Coinhive à la carte mère. Et comme Helme l'a souligné, l'attaque aurait pu être bien pire: "Les attaquants ont reçu une injection de script arbitraire sur des milliers de sites, y compris de nombreux sites Web du NHS, ici en Angleterre." Ils auraient pu voler des bateaux chargés de données personnelles extrêmement précieuses. Mais ils ne l'ont pas fait.

De plus, compte tenu de la méthode d’attaque choisie, les attaquants auraient dû choisir des cibles moins encombrées, moins surveillées et moins sécurisées: les sites pornographiques sont populaires auprès des cryptomères car ils répondent à ces critères.

Il semble que l'objectif des pirates de l'air ne soit pas de gagner de l'argent. Peut-être, comme l'a dit Matt Burgess de Wired UK, en paraphrasant Chris Boyd, analyste de Malwarebytes, ils "créaient plutôt une preuve de concept".

La crypto perturbe le modèle publicitaire?

Quel concept cela pourrait être, Boyd n'a pas précisé. "Voyons quel genre de chose folle peut être faite avec ces scripts", imagina-t-il.

Mais Lucas Nuzzi, analyste senior chez Digital Asset Research, a une idée. "Les mineurs utilisant des navigateurs comme Coinhive sont la meilleure implémentation de [preuves de travail] utiles", a-t-il tweeté. "Pour la première fois dans l'histoire d'Internet, les sites Web ont une façon de monétiser le contenu sans avoir à bombarder les utilisateurs avec des annonces."

Le potentiel ne se limite pas aux modèles basés sur la publicité, ni:

2 \ Ces mineurs peuvent être implémentés avec moins de 20 lignes de code. Wikipedia n'aurait pas besoin de demander des dons s'ils mettaient en place un mineur basé sur un navigateur.
- Lucas Nuzzi (@LucasNuzzi) 15 février 2018

L'exploration de navigateur peut perturber les modèles de monétisation actuels des fournisseurs de contenu Web. Les publicités Internet - qui sont agaçantes, contiennent souvent des codes malveillants et soutiennent un secteur du courtage de données qui compromet la confidentialité et la sécurité des utilisateurs - pourraient être reléguées au rôle de support. Les dons - qui, à en juger par les arguments de Wikipedia, ne les coupent pas - pourraient également perdre de leur importance. (Voir aussi, Blockchain pourrait vous rendre - pas Equifax - le propriétaire de vos données. )

Malheureusement, poursuit Nuzzi, les pirates informatiques ont battu en brèche des sites réputés, qui associent l’exploration de navigateur à des logiciels malveillants dans l’imagination du public et "écrasent l’espoir d’adoption par des sites Web réputés tels que Wikipedia".

Le salon fait le grand saut

Peut-être, mais au moins un site réputé, s’il est en difficulté, a franchi le pas. Salon s’est associé à Coinhive et le 11 février, jour de la débâcle de Browsealoud, il a commencé à demander aux visiteurs utilisant des bloqueurs de publicité s’ils souhaitaient "bloquer les publicités en permettant à Salon d’utiliser votre puissance de calcul inutilisée". La page FAQ explique que cela signifie minier monero, bien qu'elle ne mentionne pas son partenaire désormais infâme par son nom. (Voir aussi Salon souhaite utiliser votre ordinateur pour l’exploitation minière Cyrptocurrency. )

Pour évaluer l'expérience utilisateur, j'ai activé deux bloqueurs de publicité, visité Salon et accepté de "supprimer les publicités". Ça n'a pas marché La page d'accueil est devenue semi-opaque et illisible, comme cela se produit parfois lorsqu'une fenêtre contextuelle obligatoire est masquée par un bloqueur de publicité (avoir un bloqueur de publicité étant une condition préalable nécessaire pour accéder au cryptominer). Après quelques manipulations, du genre qui m'aurait amené à naviguer ailleurs dans des circonstances normales, j'exploiterais monero en échange de la suppression d'un commentaire libéral.

Je n'ai vu aucune annonce, mais, bien sûr, j'utilisais des bloqueurs de publicité. La page rechargeait constamment certains éléments, faisant en sorte que le texte saute toutes les quelques secondes. C'était difficile à lire. Un peu méfiant, les compteurs de mes bloqueurs de publicité tournaient jusqu'à 11 et 29, indiquant les demandes bloquées à chaque rechargement.

J'exploitais sans doute les mines. Avant de visiter la page, le moniteur d'activité de mon Macbook ne montrait aucune application utilisant plus de 10% de la CPU. Lors de ma visite, Chrome Helper variait de 50% à 320%. L'impact énergétique de Chrome a également atteint trois chiffres; la moyenne sur 12 heures est de 46.

Un courrier électronique adressé à la société de relations publiques de Salon, qui demandait des informations sur l'expérience du point de vente en matière d'exploration de navigateur, n'a pas reçu de réponse immédiate. Cet article sera mis à jour pour refléter les réponses de Salon.

L'exploitation par navigateur peut-elle fonctionner?

Ma brève rencontre avec l’exploration de navigateur a révélé le genre de problème typique des versions bêta. Mais la consommation d'énergie est un obstacle que des améliorations mineures ne résoudront pas. Les mineurs de Bitcoin affluent au Québec parce que l’électricité est bon marché. Les pirates de l'air exploitent les navigateurs des visiteurs pour la même raison. Bien qu'il soit difficile d'estimer l'impact monétaire de l'exploitation minière pour le compte de Salon, l'augmentation de la consommation d'électricité était évidente. Si une partie importante du Web adopte l’exploration de navigateur, utiliser Internet pourrait coûter cher.

Il en va de même pour l'utilisation du matériel. WannaMine a présenté un tel problème car, comme le dit Panda, "la façon dont il tente de tirer le meilleur parti du processeur et de la mémoire RAM place l'ordinateur sous une contrainte extrême." À moins que les sites ne limitent les demandes des ordinateurs des visiteurs, les processus sont ralentis et le matériel s'use rapidement.

Nuzzi ne néglige pas ces problèmes. "Si l'extraction sur navigateur devient une chose, il y aura certainement des abus concernant le nombre de threads d'extraction consommés par le site Web", a-t-il déclaré par courrier électronique. D'autre part, "comme les publicités, il existe des moyens de bloquer ce scrypt, de sorte que les sites Web doivent déterminer le juste équilibre, sinon les utilisateurs arrêteront de consulter le site Web ou de bloquer le mineur."

Pour ce qui est de l’utilisation de l’électricité, la fonction de hachage CryptoNight de Monero est plus légère que celle, par exemple, du SHA-256 de Bitcoin. Selon M. Nuzzi, l'exploitation minière Monero "n'est pas un gros problème pour les utilisateurs d'ordinateurs portables", mais "cela limite certainement certains cas d'utilisation pour les smartphones" avec la capacité de batterie plus limitée.

Ensuite, il y a le risque que la course aux armements au taux de hachage, qui a rendu la CPU et même l’exploitation GPU de bitcoin et de litecoin non rentables, entrave la poussée d’exploration du navigateur. Coinhive et WannaMine utilisent monero parce qu’il s’agit de l’une des seules crypto-monnaies pouvant être exploitée de manière rentable à l’aide d’un processeur. Compte tenu des incitations économiques appropriées, monero ne pourrait-il pas également être victime des ASIC, du matériel spécialisé conçu uniquement pour exécuter les fonctions de hachage aussi rapidement que possible?

Nuzzi ne le pense pas. Il dit que CryptoNight est "brillamment conçu", ajoutant que cela permet à Monero d'être exploité à l'aide de divers appareils, y compris les smartphones, car la majorité d'entre eux disposent d'au moins 2 Go de RAM, alors que 2 Mo seulement sont nécessaires pour lancer une instance CryptoNight. Pour Scrypt (algorithme de consensus de Litecoin), CryptoNight est beaucoup plus résistant à l’intégration de circuits, ce qui permet de construire des ASIC. "

Les développeurs de Monero ont également promis de modifier l'algorithme si un ASIC est développé. «Des fabricants comme Bitmain n’alloueraient jamais le budget de recherche et développement au développement d’un ASIC Monero, en raison de ce risque», déclare Nuzzi. (Voir aussi Bitcoin vs Litecoin: quelle est la différence? )

Longtemps attendu

Si la cryptographie remplace les publicités comme principal moyen de monétiser le contenu en ligne, ce serait la concrétisation de l'une des premières promesses de la crypto-monnaie.

L'argument selon lequel les micro-paiements bitcoins vers des sites pourraient perturber le modèle actuel a été victime de la hausse des frais de transaction, mais d'autres tentatives ont été tentées avec d'autres jetons, telles que le jeton Attention de base du navigateur Brave, qui bloquait les publicités. Mais tant que le financement d'un portefeuille et la compensation des sites dont vous bloquez les annonces restent facultatifs (comme dans Brave), le modèle semble peu susceptible de fournir aux sites les revenus dont ils ont besoin. (Brave, il faut le dire, envisage une place pour les annonceurs sur sa plate-forme.)

Il n’existe aucune garantie que l’exploration par navigateur se propage ou que l’effet sur la facture d’équipement et d’électricité des utilisateurs ne soit pas un facteur décisif. Il est toutefois possible que des publicités gênantes, intrusives et parfois nuisibles, ou les programmes que vous utilisez pour les bloquer, soient en train de disparaître.

Investir dans des crypto-monnaies et autres offres de pièces de monnaie initiales ("ICO") est très risqué et spéculatif, et cet article ne constitue en aucun cas une recommandation d’Investopedia ou de son auteur. Étant donné que la situation de chaque individu est unique, un professionnel qualifié doit toujours être consulté avant de prendre toute décision financière. Investopedia ne fait aucune déclaration et ne donne aucune garantie quant à l'exactitude ou à l'actualité des informations contenues dans le présent document. À la date de rédaction de cet article, l'auteur n'a pas de position dans les monnaies cryptographiques.