Les pirates ciblent les bases de données des projets crypto et blockchain en utilisant l’IA

Les bases de données des projets de cryptomonnaies et de blockchain avec des identifiants faibles et générés par l’IA sont piratées via des schémas de déploiement repérés par des botnets, selon une nouvelle recherche de Check Point.

Un botnet de malware nommé GoBruteforcer est capable de compromettre des serveurs Linux et de les transformer en nœuds de craquage de mots de passe automatisés, a déclaré l’entreprise de cybersécurité. Le programme de piratage a affecté l’infrastructure utilisée par les projets crypto, y compris les serveurs de base de données, les services de transfert de fichiers et les panneaux d’administration web. 

GoBrut peut scanner l’internet pour les services mal sécurisés et tenter de se connecter aux services en utilisant des noms d’utilisateur populaires et des mots de passe faibles. Une fois qu’un système est compromis, il est ensuite ajouté à un réseau distribué qui peut être accédé à distance par un réseau de pirates.

Le botnet GoBruteforcer peut pirater des mots de passe vaguement réfléchis

Selon le rapport de Check Point publié mercredi dernier, le botnet a pu contourner les protections dans des services comme FTP, MySQL, PostgreSQL et phpMyAdmin. Ces programmes sont utilisés par les startups blockchain et les développeurs d’applications décentralisées pour gérer les données des utilisateurs, la logique des applications et les tableaux de bord internes.

Les systèmes piratés par GoBrute peuvent accepter des commandes d’un serveur de commande et de contrôle, dictant quel service attaquer tout en fournissant des identifiants pour les tentatives de force brute. Les détails de connexion révélés sont réutilisés pour accéder à d’autres systèmes, voler des données privées, créer des comptes cachés et augmenter la portée du botnet.

Check Point a également mentionné que les hôtes infectés peuvent également être réaffectés pour héberger des charges malveillantes, distribuer des malwares à de nouvelles victimes ou devenir des serveurs de contrôle de secours si le système central connaît des temps d’arrêt.

De nombreuses équipes de développement utilisent désormais des extraits de code et des guides de configuration générés par de grands modèles de langage (LLM) ou copiés à partir de forums en ligne, y compris ceux de grandes entreprises technologiques comme Microsoft et Amazon. 

Check Point a expliqué que puisque les modèles d’IA ne peuvent pas créer de nouveaux mots de passe et imitent généralement ce qu’ils ont appris, ils rendent les noms d’utilisateur et les mots de passe par défaut très prévisibles, sans les changer assez rapidement avant que les systèmes ne soient exposés à internet. 

Le problème devient encore plus grave lorsque des piles web héritées comme XAMPP sont utilisées, ce qui peut exposer les services administratifs par défaut et fournir un point d’entrée facile pour les pirates.

Les campagnes GoBruteforcer ont commencé en 2023, la recherche de Unit 42 l’a trouvé

GoBruteforcer a été documenté pour la première fois en mars 2023 par Unit 42 de Palo Alto Networks, qui a détaillé sa capacité à compromettre les systèmes de type Unix x86, x64 et ARM. Le malware déploie un bot Internet Relay Chat et un shell web, que les attaquants utilisent pour maintenir leur accès à distance.

En septembre 2025, des chercheurs de Black Lotus Labs de Lumen Technologies ont découvert qu’une partie des machines infectées liées à une autre famille de malwares, SystemBC, étaient également des nœuds GoBruteforcer. Les analystes de Check Point ont comparé les listes de mots de passe utilisées dans les attaques à une base de données d’environ 10 millions d’identifiants compromis et ont trouvé un chevauchement d’environ 2,44 %.

Sur la base de ce chevauchement, ils ont estimé que des dizaines de milliers de serveurs de base de données pourraient accepter l’un des mots de passe utilisés par le botnet. Le rapport Google Cloud Threat Horizons 2024 a révélé que des identifiants faibles ou manquants étaient responsables de 47,2 % des vecteurs d’accès initial dans les environnements cloud compromis.

La reconnaissance blockchain et IA expose les données privées, trouve la recherche

Dans les cas où GoBrute a été tracé dans les environnements de cryptomonnaie, les pirates réseau ont utilisé des noms d’utilisateur et des variantes de mots de passe à thème crypto qui correspondaient aux conventions de nommage des projets blockchain. D’autres campagnes ont ciblé les panneaux phpMyAdmin liés aux sites WordPress, un service pour les sites web et les tableaux de bord des projets. 

« Certaines tâches sont clairement axées sur le secteur. Par exemple, nous avons observé une attaque qui a utilisé des noms d’utilisateur à thème crypto tels que cryptouser, appcrypto, crypto_app et crypto. Dans ces exécutions, les mots de passe utilisés combinaient la liste faible standard avec des devinettes spécifiques à la crypto telles que cryptouser1 ou crypto_user1234 », a déclaré Check Point, mentionnant des exemples de mots de passe.

Check Point a identifié un serveur compromis utilisé pour héberger un module qui scanait les adresses de la blockchain TRON et interrogeait les soldes via une API blockchain publique pour identifier les portefeuilles détenant des fonds.

« La combinaison d’infrastructures exposées, d’identifiants faibles et d’outils de plus en plus automatisés. Bien que le botnet lui-même soit techniquement simple, ses opérateurs bénéficient du nombre de services mal configurés en ligne », a écrit l’entreprise de sécurité.