Pixabay
Vollgar est une campagne cybercriminelle dont le nom est tiré de Vollar, une crypto-monnaie minée par ce programme malveillant grâce à l’infection de serveurs Microsoft SQL. Au cours des dernières semaines, 2000 à 3000 serveurs étaient infectés chaque semaine.
Crise ou non, le minage de crypto-monnaie reste une activité majeure pour les cybercriminels. La campagne malveillante Vollgar repose ainsi sur l’installation de différents malwares, dont un cryptominer.
Les chercheurs en sécurité de Guardicore Labs ont d’ailleurs baptisé Vollgar cette campagne, dont les débuts remontent à mai 2018. Vollgar est la contraction de Vollar, une crypto-monnaie minée par le malware, et « vulgar » (Nldr : grossier).
Minage de Monero et de Vollar
Les cybercriminels derrière ces attaques ne font en effet pas dans la délicatesse. Pour infecter des serveurs Microsoft SQL accessibles depuis Internet, les pirates ont recours à la force brute. Au travers d’une technique intitulée « brute-force », ils peuvent ainsi casser les mots de passe insuffisamment robustes des serveurs.
Vollgar se montre particulièrement actif ces dernières semaines avec un nombre d’infections quotidiennes compris entre 2.000 et 3.000. Les cibles, quant à elles, sont des serveurs basés principalement en Chine, Inde, Turquie, Corée du Sud et aux Etats-Unis.
Pour monétiser ces infections à grande échelle, les pirates vont notamment installer un cryptominer, un logiciel minant du Monero et du Vollar (combinant éléments de Monero et d’Ethereum). Et pas question de partager la puissance de calcul de la machine avec d’autres cybercriminels.
Par conséquent, l’attaquant Vollgar déploie de nombreux efforts à la fois pour éliminer l’activité des autres acteurs de la menace et pour effacer leurs traces,” observe Guardicore Labs.
Des pirates qui empêchent toute concurrence
Et la raison est simple : « Être le seul attaquant sur une machine est puissant – votre logiciel malveillant obtient le maximum de ressources, telles que la bande passante et la puissance du processeur, et l’accès n’est valable que par vos portes dérobées. »
L’entreprise de sécurité rappelle qu’il est hautement déconseillé d’exposer des serveurs de base de données sur Internet. En cas d’infection, l’éditeur recommande néanmoins de placer immédiatement le serveur en quarantaine pour prévenir d’autres compromissions au sein du réseau.
Enfin, les administrateurs doivent impérativement implémenter des mots de passe forts pour se protéger des attaques de type brute force. Un usage inhabituel du processeur devrait par ailleurs les alerter sur la présence d’un cryptominer.
Il est courant pour les cybercriminels d’installer ce type de logiciel pour diversifier leurs revenus. Le Monero, en raison de sa confidentialité, est ainsi une crypto-monnaie prisée des pirates. D’après une étude parue en 2019, près de 4% de l’offre totale de Monero auraient été extraits par des hackeurs via des logiciels de crypto-mining illégitimes.
Christophe Auffray
