[🧑‍💻] La cause du manque de mémoire d’un PC de l’entreprise : malware de minage et PC zombie

✨ Résumé de GPT-5.6 Sol 　

Deux jours à suivre un PC dont la mémoire engagée atteignait toujours la limite malgré de la RAM disponible, jusqu’à découvrir dans un ETL de WPR des commandes de minage et les traces d’un loader déguisé.

Hier matin, j’ai appris qu’un PC de l’entreprise affichait sans cesse des erreurs de mémoire insuffisante.

Le Gestionnaire des tâches était étrange. Seule la moitié environ des 16GB de RAM physique était utilisée et près de 9GB restaient disponibles, mais Excel et le navigateur se fermaient avec Out of Memory. La mémoire engagée atteignait pourtant 18.1 / 18.8GB.

Comme le disque C avait moins de 10GB libres et le fichier d’échange environ 3GB, j’ai d’abord soupçonné l’espace du SSD et la mémoire virtuelle. ChatGPT estimait aussi à plus de 90% la probabilité d’un manque d’espace SSD.

Une question continuait pourtant de me gêner.

Pourquoi l’engagement était-il si élevé alors que rien n’était ouvert ?

En augmentant le fichier d’échange, le coupable a grandi lui aussi

J’ai activé la gestion automatique du fichier d’échange et redémarré. Cela empêchait le système de tomber immédiatement, mais ne résolvait rien.

Avec une limite de 16GB, l’engagement montait à 15.5 / 16GB. Après avoir porté la limite à près de 32GB, il atteignait 31.9 / 32GB.

Une chose est alors devenue certaine.

Le petit fichier d’échange déclenchait l’erreur plus tôt, mais ne consommait pas la mémoire. Quelque chose réservait presque toute la limite ; l’augmenter lui donnait simplement davantage à consommer.

J’ai trié les processus par taille d’engagement dans le Gestionnaire des tâches et Process Explorer. J’ai arrêté les programmes résidents, désactivé l’antivirus et réduit le démarrage automatique. Même la somme de tous les processus visibles n’expliquait pas le total.

Malware Zero a trouvé et isolé un programme potentiellement nuisible nommé SmartBridge. J’ai cru tenir la cause, mais l’engagement a recommencé à monter après le redémarrage.

Je continuais à demander :

Franchement, à ce stade, ce n’est pas logique de soupçonner un virus ?

ChatGPT répondait encore qu’il fallait considérer sérieusement un malware sans pouvoir le confirmer. Un PUP, un module de sécurité défaillant ou un service caché restaient possibles.

Une heure de WPR s’est d’abord terminée par un enregistrement perdu

J’ai installé Windows Performance Recorder et Windows Performance Analyzer pour identifier l’engagement invisible dans le Gestionnaire des tâches.

Le premier essai a été chaotique. J’ai laissé le suivi VirtualAlloc en mode fichier plus d’une heure, jusqu’à remplir la limite. L’arrêt a lui aussi échoué et l’ETL n’a pas été sauvegardé.

Après redémarrage, j’ai indiqué le chemin exact de WPR. J’ai lancé une capture en mode mémoire et l’ai arrêtée au moment où l’engagement s’est envolé, ce qui a produit memory.etl.

Le fichier pesait 318MB.

La commande de minage était intacte dans l’ETL

Cet après-midi, l’analyse de l’ETL a mis fin d’un coup à toutes les hypothèses.

Le journal répétait cette commande :

C:\Windows\System32\cmd.exe
  --algo progpowz
  --url stratum+tcp://pool.zh.woolypooly.com:3146
  --user [adresse du portefeuille]
  --pass x

progpowz, stratum+tcp, une adresse de pool et une adresse de portefeuille figuraient ensemble. C’était du minage de cryptomonnaie, pas une panne ordinaire.

Le même ETL contenait des traces encore plus explicites :

• C:\ProgramData\KB5019959.exe, déguisé en mise à jour Windows, s’exécutait sans cesse.
• Des commandes PowerShell encodées étaient exécutées.
• Une commande tentait de faire passer PowerShell pour un fichier système normal.
• Des exclusions de comportement, de chemins et de processus avaient été ajoutées à Microsoft Defender.
• Des fichiers étaient téléchargés d’un dépôt externe puis extraits avec 7-Zip sous C:\ProgramData\Google.
• Le DNS était modifié, et la veille ainsi que l’hibernation désactivées.

FindWorker.exe, qui semblait être un logiciel de travail normal, apparaissait aussi souvent. Sa fréquence ne suffisait toutefois pas à en faire la source de l’infection. Les preuves décisives étaient la commande du pool et le comportement du loader déguisé. Le vecteur initial restait inconnu.

En voyant le résultat, j’ai dit :

Waouh… c’est donc ce fameux PC zombie dont je n’avais fait qu’entendre parler ????

Plus précisément, c’était un PC zombie de minage dont un attaquant utilisait secrètement les ressources. L’espace du SSD et le fichier d’échange n’avaient fait qu’exposer plus vite le symptôme ; ils n’étaient pas la cause racine.

J’ai immédiatement alerté l’entreprise

On disait que les symptômes avaient commencé après le branchement d’une clé USB, mais cela ne suffisait pas à confirmer le vecteur. Pourtant, la même clé pouvait être branchée ailleurs et le PC infecté accédait au NAS. Je ne pouvais pas garder le résultat pour moi.

J’ai envoyé cet avis urgent :

[Avis de sécurité urgent]

Un PC zombie infecté par un malware de minage de cryptomonnaie a été confirmé dans l’entreprise.

Le vecteur exact reste inconnu ; nous soupçonnons d’abord le branchement d’une clé USB contenant le malware.

Nous recherchons aussi une infection ou une altération du NAS et des fichiers partagés, et communiquerons les résultats.

Si votre PC ralentit ou si Excel, les documents ou le navigateur se ferment sans raison, vérifiez :

Ctrl + Shift + Esc → Gestionnaire des tâches → Performances → Mémoire → Validée

Sur le PC infecté, près de 9GB restaient disponibles, mais

• l’engagement approchait la limite, par exemple 15.5GB / 16GB ; ou
• après activation de la mémoire virtuelle, continuait jusqu’à 31.9GB / 32GB.

Si l’un de ces cas se présente, capturez l’écran mémoire et prévenez-nous immédiatement :

• Plus de 12GB engagés sans programme important
• Plus de 80% de la limite utilisée
• Valeur qui continue de monter au repos
• Fermetures répétées d’Excel, de documents ou du navigateur
• Erreurs de mémoire insuffisante ou Out of Memory
• Ralentissement ou anomalie après un branchement USB récent

Ne supprimez pas vous-même de fichiers ou de programmes et ne branchez pas la clé utilisée sur un autre PC. Je vérifierai personnellement les appareils concernés.

J’ai envoyé un second avis après le contrôle du NAS

J’ai exporté les journaux du NAS et recherché des altérations dans tous les fichiers. Heureusement, aucun signe de propagation au NAS n’est apparu. J’ai ensuite annoncé :

L’inspection du NAS n’a trouvé à ce stade aucun indice suffisant pour confirmer une infection du serveur lui-même. Comme nous ne pouvons pas encore l’exclure totalement, nous effectuerons des sauvegardes séquentielles par dossier.

Les fichiers de travail peuvent actuellement être utilisés normalement.

La sauvegarde aura lieu chaque jour de 23 h à 07 h. Le NAS restera disponible, mais l’accès ou le traitement des fichiers pourra ralentir temporairement.

Signalez immédiatement tout fichier qui ne s’ouvre plus ou dont le nom, l’extension ou le contenu a changé anormalement. (Contact d’urgence : 010-0000-0000)

À suivre

Demain s’annonce extrêmement chargé.

Trois personnes du même deuxième étage signalent désormais des symptômes presque identiques et, par coïncidence, elles constituent toute l’équipe finance-comptabilité de l’entreprise. Je devrai donc reformater ces trois PC au plus vite demain.

Ça sent fortement les heures supplémentaires…