Un citoyen canadien, Ryan James Roach, 35 ans, a été extradité vers les États-Unis le 28 octobre pour répondre à un acte d'accusation fédéral l'accusant d'avour comploté avec Mathiew James Stubbings, 41 ans, résident de l'Ontario, pour infiltrer des réseaux universitaires et exploiter des opérations de minage de cryptomonnaies sur des ordinateurs à haute performance. Selon le ministère de la Justice des États-Unis, le schéma s'est étendu de juin 2016 à décembre 2019 et a ciblé des institutions dans les États de New York, du Tennessee, de Caroline du Nord et du Massachusetts.

Détails du piratage présumé

Les procureurs affirment que Roach et Stubbings ont d'abord sondé les failles de sécurité des réseaux de quatre universités qui hébergent de puissants supercalculateurs. Après avoir obtenu l'accès, ils auraient installé un logiciel malveillant sur mesure, récolté des identifiants de connexion et forcé les machines à miner des cryptomonnaies pour leur propre bénéfice. L'acte d'accusation énumère trois chefs d'accusation : complot pour obtenir des informations depuis un ordinateur protégé, obtention d'informations depuis un ordinateur protégé et dommages intentionnels à un ordinateur protégé, chacun étant passible de dix ans de prison et d'une amende de 250 000 $.

Méthodes techniques et cryptomonnaie utilisée

Le duo aurait acheminé le trafic via des serveurs privés virtuels enregistrés sous de fausses identités dans plusieurs pays, utilisant les machines des victimes compromises comme tremplins pour brouiller leurs traces. Bien que le ministère de la Justice n'ait pas divulgué la pièce spécifique minée, Monero, axée sur la confidentialité, est fréquemment citée dans des cas similaires de cryptojacking car elle peut être minée sur du matériel standard et obscurcit les traces des transactions. Des alertes récentes de l'agence néerlandaise de cybersécurité ont mis en lumière des mineurs Monero déployés via une faille de partage d'écran sur macOS.

Implications sécuritaires plus larges

Cette affaire survient alors que le Threat Intelligence Group de Google a averti que les attaquants passent du cryptojacking traditionnel au « LLMjacking », en détournant l'accès aux grands modèles de langage pour générer des factures massives de services cloud. L'unité Mandiant de Google a observé des incidents où des frais frauduleux dépassaient 100 000 $ en une seule journée, certaines victimes subissant jusqu'à 1 million de dollars avant l'arrêt de l'abus. L'agence note que des services souterrains, surnommés « LLM Mixers », revendent déjà l'accès volé aux modèles d'IA.

Ce qu'il faut surveiller

Les procédures d'extradition de Mathiew James Stubbings restent en suspens au Canada, et sa comparution ultérieure devant un tribunal américain clarifiera l'ampleur complète de l'opération. Les forces de l'ordre devraient publier de nouvelles directives sur la protection des ressources de calcul à haute performance, surtout alors que la frontière entre le cryptojacking et le détournement de modèles d'IA s'estompe. Les parties prenantes doivent surveiller les mises à jour des rapports de Threat Intelligence de Google et toute action politique connexe du ministère de la Justice des États-Unis.