Si le coût de l'énergie est aujourd'hui le principal reproche adressé aux mineurs de cryptomonnaies, un autre problème est apparu ces derniers mois sur les plateformes de cloud computing, certains groupes de mineurs abusant des niveaux gratuits de ces plateformes pour miner des cryptomonnaies.
Déjà cités dans les attaques et les détournements de serveurs non patchés, plusieurs services d'intégration continue (CI) se plaignent désormais de ces bandes qui enregistrent des comptes gratuits sur leur plateforme avant de passer à de nouveaux comptes gratuits jusqu'à la limite de la période d'essai.
Bien que les crypto-monnaies n'existent que dans le monde numérique, une gigantesque opération physique appelée « minage » se déroule en coulisses.
Ces groupes opèrent en créant des comptes sur certaines plateformes, en souscrivant à un forfait gratuit et en exécutant une application de minage de cryptomonnaie sur l'infrastructure gratuite du fournisseur. Une fois la période d'essai ou les crédits gratuits épuisés, ils créent un nouveau compte et recommencent le processus, saturant ainsi les serveurs du fournisseur et ralentissant son fonctionnement normal.
La liste des services ayant fait l'objet de tels abus comprend notamment GitHub, GitLab, Microsoft Azure, Travis CI, Layer CI, Circle CI, Render, CloudBees CodeShip, Sourcehut et Okteto . Ces derniers mois, des développeurs ont partagé leurs propres témoignages d'abus similaires constatés sur d'autres plateformes, et certaines de ces entreprises ont également fait part de leurs expériences similaires.
La plupart de ces abus se produisent dans les entreprises qui fournissent des services d'intégration continue (CI). L'intégration continue consiste à automatiser l'intégration des modifications de code provenant de plusieurs contributeurs au sein d'un même projet logiciel. Il s'agit d'une pratique DevOps essentielle, permettant aux développeurs de fusionner fréquemment leurs modifications de code dans un dépôt central où sont ensuite exécutés les processus de compilation et de test.
Des outils automatisés permettent de vérifier l'exactitude du nouveau code avant son intégration. Un système de contrôle de version du code source est fondamental pour le processus d'intégration continue (CI). Ce système est complété par d'autres vérifications, telles que des tests automatisés de qualité du code, des outils de vérification syntaxique, etc.
En pratique, la CI hébergée dans le cloud est obtenue en créant une nouvelle machine virtuelle qui exécute le processus de génération, de package et de test, puis relaie le résultat à un chef de projet.
Les gangs de minage de crypto-monnaie se sont rendu compte qu'ils pouvaient abuser de ce processus pour ajouter leur propre code et faire en sorte que cette machine virtuelle CI effectue des opérations de minage de crypto-monnaie afin de générer de petits profits pour l'attaquant avant l'attaque. La durée de vie limitée de la VM expire et la VM est arrêtée par le fournisseur de cloud.
C'est ainsi que les gangs de minage de crypto-monnaie ont abusé de la fonctionnalité GitHub Actions, qui offre une fonctionnalité d'infrastructure virtuelle aux utilisateurs de GitHub, pour exploiter le site et extraire la crypto avec les propres serveurs de GitHub.
GitHub et GitLab ne sont pas les seuls fournisseurs d'intégration continue à avoir été confrontés à ces abus. Microsoft Azure, LayerCI, Sourcehut, CodeShip et de nombreuses autres plateformes ont également rencontré des difficultés, selon le rapport.
Une entreprise comme GitLab, en raison de sa plus grande taille, peut toujours se permettre de conserver son offre de CI gratuits pour ses utilisateurs en trouvant d'autres moyens d'empêcher les abus par les mineurs de crypto. Mais d'autres petits fournisseurs de circuits intégrés ne le peuvent pas. Mardi dernier, dans leurs décisions de protéger leurs clients payants qui ont vu leur service se dégrader, Sourcehut et TravisCI ont déclaré qu'ils prévoyaient de cesser d'offrir leurs niveaux de QI gratuits en raison d'abus continus.
Bien que la suppression des offres gratuites pour les fournisseurs de services puisse limiter les abus constatés, elle n'est pas optimale pour les développeurs indépendants qui utilisent ces offres pour leurs projets open source. Une solution alternative, proposée par Berrelleza, consisterait à déployer des systèmes automatisés capables de détecter et de contrer ces abus . Cependant, la mise en place de tels systèmes exige des ressources que certaines entreprises ne peuvent pas allouer, et leur bon fonctionnement n'est pas garanti.