Le malware Kinsing

Comment Kinsing infecte les systèmes

Kinsing ne s'appuie pas sur un seul point d'entrée. Il scanne en continu internet à la recherche de systèmes qu'il peut compromettre, et utilise la faille qu'il trouve. Ses voies d'entrée courantes comprennent :

• Les services mal configurés et exposés. Les API Docker exposées publiquement et autres services non sécurisés avec des ports ouverts sont une voie d'entrée fréquente, en particulier dans les configurations cloud et de conteneurs.
• Les credentials faibles. Le brute-force ou la devinette de mots de passe faibles sur des services exposés donne au malware un accès direct.
• Les vulnérabilités logicielles connues. Kinsing exploite des failles non corrigées dans des logiciels serveur largement utilisés pour exécuter son code à distance, et il maintient en rotation des vulnérabilités anciennes longtemps après que des correctifs existent.

Une fois qu'il a un point d'appui, Kinsing est généralement délivré par un script shell qui télécharge et exécute le binaire Go principal. Les vulnérabilités qu'il a exploitées au fil du temps couvrent de nombreuses technologies serveur populaires, ce qui explique en partie pourquoi il reste pertinent. Des exemples représentatifs sont présentés ci-dessous.

Ce que Kinsing fait une fois à l'intérieur

Après avoir obtenu un accès, Kinsing suit un schéma cohérent conçu pour maximiser le temps de cryptominage et rester non détecté :

1. Prépare le terrain. Il désactive ou contourne les outils de sécurité et efface les traces, utilisant des utilitaires système pour supprimer les journaux et modifier les attributs de fichiers afin que ses fichiers soient plus difficiles à toucher.
2. Élimine la concurrence. Kinsing recherche d'autres cryptomineurs déjà présents sur l'hôte, dans les processus en cours et les tâches planifiées, et les neutralise pour avoir les ressources de la machine à lui seul.
3. Déploie le mineur. Il télécharge et exécute un cryptomineur, généralement XMRig, configuré pour miner du Monero vers le portefeuille de l'attaquant, ce qui est le but de toute l'opération.
4. Établit la persistance. Il ajoute des tâches cron ou des services système qui re-téléchargent et relancent régulièrement le malware, de sorte que supprimer le seul mineur ne nettoie pas le système.
5. Se dissimule. Il utilise le masquage de processus et des techniques de rootkit, notamment un rootkit en espace utilisateur chargé via le mécanisme de préchargement de bibliothèque du système, pour cacher ses processus, fichiers et connexions réseau à une inspection courante.

L'effet immédiat est que le processeur du serveur est accaparé par le cryptominage, ce qui se manifeste par une utilisation des ressources inhabituellement élevée et soutenue, des performances dégradées et des coûts cloud plus importants. Au-delà du cryptominage, les serveurs compromis peuvent être utilisés à d'autres fins, comme propager le malware ou être intégrés dans un botnet. Une infection Kinsing signale donc aussi qu'un système était suffisamment exposé pour être pris en main.

Ce que Kinsing cible

Kinsing est opportuniste plutôt que ciblé. Il s'attaque à tout système accessible qui correspond à son mode opératoire, ce qui signifie en pratique :

• Les serveurs Linux, son environnement d'origine et principal.
• Les conteneurs et l'orchestration, en particulier Docker et Kubernetes, où une seule API exposée ou une mauvaise configuration peut mener à une compromission.
• Les infrastructures cloud natives, où les services exposés à internet et les déploiements rapides peuvent laisser des lacunes, et où une instance détournée génère des coûts de cryptominage qui passent inaperçus.

Parce qu'il est opportuniste, toute organisation exploitant des workloads Linux, de conteneurs ou cloud exposés ou non corrigés est une cible potentielle, quelle que soit sa taille ou son secteur. Un seul service exposé à internet et négligé suffit souvent.

Comment Kinsing a évolué

Kinsing n'est pas resté statique depuis 2020. Il intègre en continu de nouvelles vulnérabilités dans sa boîte à outils, souvent dans les jours suivant la publication d'un code de preuve de concept, tout en maintenant les plus anciennes en rotation car les systèmes non corrigés restent courants. Il a été observé en train de s'étendre au-delà de Linux vers Windows, où son mineur a été déguisé sous un nom à consonance légitime pour se fondre dans le système. Des activités plus récentes ont associé l'opération de cryptominage à des outils post-exploitation supplémentaires et des backdoors, suggérant que les opérateurs sont disposés à utiliser leur accès pour plus que du seul cryptominage. Le fil conducteur est l'adaptation : Kinsing suit les vulnérabilités et les infrastructures, ce qui explique pourquoi il est resté une menace persistante pour les environnements cloud et de conteneurs pendant des années.

Comment détecter et se défendre contre Kinsing

Parce que Kinsing exploite l'exposition et des failles connues plutôt que des techniques nouvelles, la défense est avant tout une question d'hygiène soutenue par de la surveillance :

1. ‍Sécuriser et corriger les services exposés. Restreindre les API Docker et de conteneurs, éviter d'exposer des services comme Redis à internet, fermer les ports inutiles et corriger rapidement les vulnérabilités connues, car Kinsing mise sur les retards de correction.‍
2. Appliquer des credentials solides. Remplacer les mots de passe faibles et par défaut et appliquer l'authentification multifacteur (MFA) sur les interfaces d'administration pour supprimer la voie de brute-force.‍
3. Surveiller les signes révélateurs. Une utilisation élevée et soutenue du CPU, des processus de cryptomineur inconnus comme XMRig, des tâches cron inattendues et des outils de sécurité désactivés sont de forts indicateurs d'une infection Kinsing.‍
4. Surveiller le comportement cloud et des conteneurs. Utiliser une surveillance comportementale et en temps réel sur les workloads cloud et de conteneurs pour détecter l'activité malveillante qui suit une compromission, pas seulement l'exploit initial.‍
5. Segmenter et limiter le rayon d'impact. La segmentation réseau et la configuration selon le principe du moindre privilège réduisent la propagation du malware et ce qu'un workload compromis peut atteindre.

Supprimer Kinsing implique généralement plus que de tuer le mineur : ses mécanismes de persistance le réinstallent, de sorte que les équipes de réponse doivent isoler l'hôte, supprimer les tâches cron, services et fichiers malveillants et, surtout, fermer l'exposition ou la vulnérabilité qui l'a laissé entrer. Pour un système profondément compromis, reconstruire depuis un état sain connu est souvent l'option la plus sûre.

Avis d'expert : un symptôme à prendre au sérieux

Il est tentant de traiter le cryptojacking comme une nuisance plutôt que comme un véritable incident. Le malware ne chiffre pas de fichiers ni ne vole de données à la manière d'un ransomware ou d'un infostealer, et le symptôme visible est souvent juste un serveur lent et coûteux. Mais cette lecture sous-estime le risque. Une infection Kinsing est la preuve qu'un système était accessible et suffisamment vulnérable pour être compromis automatiquement, par un malware opportuniste qui ne visait même pas cette organisation spécifiquement. Ce qui a trouvé son chemin par cette faille aurait tout aussi bien pu être quelque chose de bien plus dommageable, et Kinsing lui-même a commencé à embarquer des backdoors supplémentaires au-delà de son mineur.

C'est là que la réponse compte autant que le nettoyage. Sekoia est un éditeur européen de cybersécurité dont l'équipe interne Threat Detection & Research (TDR) traque des menaces comme Kinsing directement, notamment via des honeypots déployés mondialement pour observer comment le malware exploite de nouvelles vulnérabilités dans la nature, et ce renseignement sur les cybermenaces alimente la plateforme. Plutôt que de traiter un pic d'utilisation du processeur comme un problème de performance isolé, la plateforme AI SOC de Sekoia corrèle les signaux sur les endpoints, le réseau et le cloud et les mappe sur le framework MITRE ATT&CK, de sorte que l'exploitation, l'évasion de défense et la persistance derrière un cryptomineur sont reconnus comme une seule intrusion et, surtout, que l'exposition qui l'a permise l'est aussi. Le message pratique est de traiter une infection de cryptojacking pour ce qu'elle représente réellement : une défaillance de sécurité. Il faut corriger l'exposition sous-jacente, pas seulement le symptôme, car ce qui trouvera cette faille ensuite ne se contentera peut-être pas de cryptominer.