Comment le Cheval de Troie XMRig s’Infiltre dans Votre Système Informatique

Qu’est-ce que le cheval de Troie XMRig ?

Le cheval de Troie XMRig est une version camouflée de XMRig, un mineur de cryptomonnaie légitime et open source, que des attaquants installent en secret sur des ordinateurs, des serveurs et des systèmes cloud. Une fois installé, le malware XMRig détourne la puissance de calcul de la victime pour miner du Monero au profit de l’attaquant, une pratique connue sous le nom de cryptojacking.

XMRig est l’un des outils les plus détournés par les cybercriminels, mais ce qui prête à confusion, c’est que XMRig n’est pas en soi un logiciel malveillant. C’est un programme de minage gratuit et hautement optimisé, disponible sur GitHub, qui reste activement maintenu avec de nouvelles versions publiées en 2026. L’étiquette de « cheval de Troie » vient de la manière dont les criminels le diffusent. Ils reconditionnent XMRig et le dissimulent dans quelque chose auquel la victime fait confiance ou qu’elle souhaite obtenir, comme une mise à jour logicielle, une application gratuite ou un processus serveur compromis.

Dans ce guide, nos experts expliquent comment fonctionne le malware XMRig, comment il arrive sur vos systèmes, qui il cible, comment le reconnaître et le supprimer, et comment le tenir durablement à l’écart.

Comment fonctionne le malware XMRig

Les cryptomonnaies comme le Bitcoin et le Monero utilisent un mécanisme appelé preuve de travail (proof of work) pour sécuriser leurs blockchains. Des ordinateurs rivalisent pour résoudre des calculs très coûteux en ressources, et le premier à en résoudre un ajoute le bloc suivant à la blockchain et reçoit une récompense. Plus un mineur contrôle de puissance de calcul, plus il obtient de récompenses.

Les mineurs légitimes paient cette puissance de calcul en matériel et en électricité. Les cryptojackers, eux, la volent, et c’est la victime qui paie la facture.

XMRig est l’outil de prédilection pour plusieurs raisons :

Il mine du Monero. Le Monero est une cryptomonnaie axée sur la confidentialité, bien plus difficile à tracer que le Bitcoin, ce qui la rend idéale pour le profit criminel.
Il fonctionne sur des processeurs ordinaires. L’algorithme de minage du Monero, RandomX, est délibérément conçu pour tourner efficacement sur des processeurs courants plutôt que sur du matériel spécialisé. Les ordinateurs d’entreprise ordinaires valent donc la peine d’être détournés.
Il tourne presque partout et se personnalise facilement. XMRig fonctionne sous Windows, Linux, macOS, Kubernetes et sur des instances cloud, et son code open source est simple à modifier et à intégrer dans d’autres logiciels malveillants.

Comment reconnaître XMRig

Le déguisement d’origine : de fausses mises à jour d’Adobe Flash

L’une des premières campagnes les plus connues du cheval de Troie XMRig, étudiée par les chercheurs de Palo Alto Networks, déguisait le mineur en mise à jour d’Adobe Flash Player, allant jusqu’à installer une véritable mise à jour de Flash pour rendre l’illusion convaincante. Plusieurs détails le trahissaient :

Le programme d’installation indiquait un éditeur inconnu, alors qu’une mise à jour authentique devrait mentionner Adobe.
L’ordinateur devenait soudainement lent, car le mineur consommait une grande partie de la puissance du processeur.
L’ordinateur chauffait pendant de longues périodes, ce qui réduit la durée de vie du matériel.
Des programmes et fichiers inconnus apparaissaient sur le système, comme Winserv.exe.

Comment XMRig se déguise aujourd’hui

Flash a disparu, mais le cheval de Troie XMRig a simplement adopté de nouveaux déguisements.

Logiciels piratés et crackés. En février 2026, des chercheurs de Trellix ont révélé une campagne qui utilisait des paquets de logiciels piratés, présentés comme des applications bureautiques premium gratuites, pour déployer un mineur XMRig personnalisé. Kaspersky a également observé XMRig se propager via des torrents de jeux crackés jusque dans des réseaux d’entreprise, probablement à cause de téléchargements personnels effectués par des employés sur leurs ordinateurs de travail.

Vulnérabilités exploitées. Lorsqu’une faille critique est divulguée, les mineurs de cryptomonnaie figurent souvent parmi les premières charges malveillantes déployées par les attaquants. Après la divulgation fin 2025 de la vulnérabilité React2Shell, de gravité maximale, des chercheurs de Wiz ont observé des campagnes l’exploitant pour installer XMRig. Darktrace a même découvert un exploit généré par IA faisant de même, signe que l’IA a abaissé la barrière d’entrée à la cybercriminalité.

Identifiants volés. Selon Expel, XMRig a été déployé après la compromission d’identifiants d’applications d’administration à distance, par des attaques par force brute contre SSH et comme charge utile de logiciels malveillants courants.

Tiers de confiance. La campagne XMRig la plus sophistiquée de 2026 a commencé par un fournisseur. En mai 2026, Group-IB a identifié une campagne clandestine de minage de Monero dans laquelle les attaquants ont obtenu un accès via une relation de confiance avec un tiers, puis se sont déplacés vers le réseau principal de la victime sans être détectés. Une fois à l’intérieur, ils ont usurpé des comptes utilisateurs standards, désactivé les services de journalisation, altéré les journaux d’authentification et dissimulé le mineur sous des noms de processus légitimes comme « ssh ». Group-IB a qualifié le résultat d’écran de fumée forensique.

Signes d’alerte d’une infection par XMRig

XMRig étant un logiciel légitime, aucun indicateur isolé ne confirme à lui seul une infection. Le signal le plus fiable est l’apparition simultanée de plusieurs des signes suivants :

Signe d’alerte	Ce que l’on observe	Où vérifier
Utilisation élevée et prolongée du processeur	Processeurs proches de leur capacité maximale sans raison métier, surtout la nuit	Gestionnaire des tâches, top ou htop, tableaux de bord de supervision
Chaleur, bruit et ralentissements	Ventilateurs qui tournent en permanence et machines qui répondent lentement	Tickets du support informatique, télémétrie matérielle
Connexions à des pools de minage	Trafic sortant vers des pools de minage de Monero connus	Journaux du pare-feu, du proxy et DNS
Persistance inattendue	Nouvelles tâches planifiées, tâches cron ou entrées de démarrage qui relancent un processus après son arrêt	Planificateur de tâches, crontab, clés Run du registre
Pics de coûts cloud	Factures de calcul qui s’envolent sans changement métier correspondant	Alertes de facturation et rapports d’utilisation cloud
Journaux manquants ou altérés	Services de journalisation désactivés ou lacunes dans les journaux d’authentification	SIEM, contrôles de l’acheminement des journaux

Indicateurs techniques pour les équipes de sécurité

Pour les analystes SOC et les équipes de threat hunting, certains artefacts propres à XMRig méritent d’être ajoutés aux règles de détection :

Le protocole Stratum. Les mineurs communiquent avec les pools de minage via Stratum : recherchez les chaînes « stratum+tcp » ou « stratum+ssl » dans les lignes de commande des processus et dans le trafic réseau.
Ports courants des pools de minage. Des ports comme 3333, 4444, 5555, 7777 et 14444 sont fréquemment utilisés par les pools de minage. Les connexions sortantes vers ces ports depuis des serveurs ou des postes de travail méritent un examen approfondi.
Fichiers de configuration. XMRig lit généralement ses paramètres, notamment les adresses des pools et les identifiants de portefeuille, dans un fichier nommé config.json placé à proximité du binaire du mineur.
Options de ligne de commande. Les listes de processus peuvent faire apparaître des options XMRig comme « -o » suivie de l’adresse d’un pool, « –donate-level » ou « –cpu-max-threads-hint ».

Les attaquants renomment régulièrement le mineur : associez donc ces vérifications à des alertes comportementales plutôt que de vous fier uniquement aux noms de fichiers.

Qui XMRig cible-t-il ?

XMRig est souvent décrit comme opportuniste, puisque les attaquants s’emparent de la puissance de calcul partout où ils la trouvent. Mais les campagnes de 2026 montrent que les cibles les plus rentables ne sont pas les ordinateurs personnels. Ce sont les réseaux d’entreprise, les environnements cloud et les fournisseurs qui s’y connectent.

Les organisations des services financiers, de la santé et du SaaS sont particulièrement attractives, car elles exploitent de vastes parcs de serveurs et de charges de travail cloud, dépendent d’intégrations tierces et maintiennent souvent des systèmes hérités en service pour des raisons opérationnelles ou de conformité. Un seul compte cloud compromis dans l’un de ces environnements peut alimenter bien plus de minage que des milliers d’ordinateurs personnels.

Pourquoi XMRig est plus qu’une simple nuisance

Certaines recommandations considèrent XMRig comme une faible priorité, car le mineur lui-même ne vole pas de données et ne chiffre pas de fichiers. Cette vision néglige deux points.
Premièrement, les coûts sont bien réels. Une étude de Sysdig a montré que pour chaque dollar miné par un attaquant sur une infrastructure cloud détournée, la victime paie environ 53 dollars en coûts de calcul.

Deuxièmement, et surtout, un mineur est la preuve d’une compromission. Comme l’ont souligné les chercheurs d’Expel, un mineur non autorisé révèle généralement des failles de sécurité non résolues, et tout attaquant capable d’installer XMRig pourrait tout aussi facilement installer un rançongiciel ou un outil de vol de données.

Comment protéger votre système informatique

Les mêmes fondamentaux qui arrêtent la plupart des logiciels malveillants arrêtent aussi le cheval de Troie XMRig :

Allez au-delà de l’antivirus traditionnel. Un antivirus fiable avec des analyses planifiées reste une bonne base, mais les attaquants reconditionnent sans cesse XMRig pour échapper à la détection par signatures. Les outils de détection et de réponse sur les terminaux (EDR) qui surveillent les comportements suspects, comme des pics prolongés d’utilisation du processeur ou des processus se faisant passer pour des noms de confiance, en détectent beaucoup plus.
Utilisez le filtrage web et des e-mails. Bloquez les URL malveillantes connues, les fausses pages de mise à jour, les publicités malveillantes et les téléchargements suspects avant qu’ils n’atteignent les utilisateurs. Ajoutez une surveillance réseau qui alerte en cas de connexion à des pools de minage connus.
Formez vos équipes. Sensibilisez les employés aux fausses alertes de sécurité et aux fenêtres de mise à jour, et indiquez clairement que les logiciels piratés ou crackés ne sont jamais acceptables sur les appareils professionnels.
Téléchargez les mises à jour uniquement depuis des sources officielles. Les mises à jour logicielles doivent provenir directement de l’éditeur ou d’un système de mise à jour géré de façon centralisée, jamais d’une fenêtre du navigateur ni d’un site de téléchargement tiers.
Corrigez rapidement les systèmes exposés à Internet. Donnez la priorité aux applications web exposées, aux VPN et aux interfaces d’administration, car les mineurs figurent parmi les premières charges déployées par les attaquants après la divulgation d’une vulnérabilité majeure.
Verrouillez les accès à distance. Imposez l’authentification multifacteur sur SSH, RDP et les outils d’administration à distance, et surveillez les tentatives de force brute.
Examinez les accès des tiers. Sachez quels fournisseurs peuvent accéder à votre environnement, comment cet accès est délimité et s’il est surveillé.
Protégez vos journaux et vos environnements cloud. Transférez les journaux vers un emplacement protégé contre l’altération et déclenchez une alerte lorsqu’une source cesse d’émettre. Dans le cloud, appliquez des standards de sécurité de base pour les pods Kubernetes, activez la détection du cryptominage, comme AWS GuardDuty Runtime Monitoring, et configurez des alertes de facturation en cas d’utilisation inhabituelle des ressources de calcul.

Comment supprimer le malware XMRig

Supprimer le fichier du mineur ne suffit pas. Les attaquants mettent en place des mécanismes de persistance, et la faiblesse qui leur a permis d’entrer reste ouverte. Traitez chaque découverte comme le point de départ d’une investigation :

Isolez les systèmes touchés. Déconnectez-les pour empêcher tout ce que l’attaquant a installé de se propager.
Préservez les preuves. Capturez la mémoire, les listes de processus et les journaux avant le nettoyage.
Arrêtez le mineur et supprimez la persistance. Mettez fin au processus de minage, puis supprimez les tâches planifiées, les tâches cron, les services, les entrées de démarrage et les comptes utilisateurs non autorisés qui le relancent.
Identifiez le vecteur d’accès initial. Si vous ne refermez pas la porte utilisée par l’attaquant, il reviendra.
Recherchez les menaces dans tout l’environnement. Les mineurs sont rarement déployés sur une seule machine.
Renouvelez les identifiants. Réinitialisez les mots de passe, clés et jetons exposés sur les systèmes compromis.
Validez la correction. Confirmez par des tests que la faiblesse exploitée par l’attaquant est réellement corrigée.

Pourquoi les entreprises utilisent Flash

Adobe a officiellement mis fin au support de Flash fin 2020, mais pendant des années, de nombreuses entreprises ont continué à l’utiliser, et cet historique explique pourquoi le déguisement Flash de XMRig a si bien fonctionné. Flash était utile pour la création publicitaire, car il permettait aux entreprises de mesurer le nombre de clics reçus par une annonce, et Flash Media Server intégrait une gestion des droits numériques qui permettait de diffuser du contenu en streaming tout en protégeant l’URL et en empêchant la mise en cache des données.

Flash a disparu, mais le problème de fond demeure. Les entreprises utilisent toujours des logiciels obsolètes, des équipements non pris en charge et des systèmes non corrigés, car les mettre à jour demande du temps, de l’argent et de la planification. C’est exactement ainsi que naissent les vulnérabilités, et c’est exactement ce que recherchent les opérateurs de XMRig. Chaque application héritée, chaque serveur oublié et chaque équipement en fin de vie est un refuge potentiel pour un mineur.

Questions fréquentes sur le malware XMRig

XMRig est-il un virus ?

XMRig est en soi un logiciel de minage légitime et open source. Il devient une menace lorsque des criminels l’installent à l’insu du propriétaire, généralement caché dans un cheval de Troie comme une fausse mise à jour ou un logiciel piraté.

XMRig est-il sûr ?

XMRig n’est sûr que si vous l’avez installé volontairement pour miner votre propre cryptomonnaie. Si vous le trouvez sur un système de l’entreprise et que personne dans votre équipe ne l’a installé, traitez-le comme un logiciel malveillant et comme le signe d’une compromission.

Pourquoi XMRig est-il sur mon ordinateur ?

Si vous ne l’avez pas installé, un attaquant l’a très probablement fait, généralement via une fausse mise à jour logicielle, un programme piraté ou cracké, un mot de passe volé ou une vulnérabilité non corrigée.

Windows Defender détecte-t-il XMRig ?

La plupart des antivirus et outils de protection des terminaux modernes, y compris Microsoft Defender, détectent les versions connues de XMRig, souvent sous des noms de mineur de cryptomonnaie (coin miner) ou de cheval de Troie. Les versions modifiées peuvent échapper à la détection, et la suppression ne corrige pas la vulnérabilité qui a permis au mineur d’entrer.

XMRig peut-il voler mes données ?

Le mineur utilise votre puissance de calcul plutôt que de voler des fichiers, mais l’attaquant qui l’a installé a accès à votre système et peut tout aussi facilement y déployer des outils de vol de données ou un rançongiciel.

XMRig affecte-t-il les serveurs Linux et les environnements cloud ?

Oui. XMRig est fréquemment découvert sur des serveurs Linux, des instances cloud et des clusters Kubernetes, où il peut faire grimper considérablement les coûts de calcul avant que quiconque ne s’en aperçoive.

Trouvez les failles avant qu’un mineur ne le fasse

Une infection par XMRig est rarement le véritable problème. C’est le symptôme d’un système non corrigé, d’un identifiant faible, d’une connexion fournisseur à laquelle on accorde trop de confiance ou d’une charge de travail cloud que personne ne surveillait.

Faites confiance aux experts d’Orenda Security pour trouver les vulnérabilités de votre système avant les attaquants. Nos tests d’intrusion réseau externes et internes identifient les services exposés et les contrôles d’accès insuffisants qu’exploitent les campagnes de cryptojacking. Nos tests de sécurité applicative révèlent les failles que les attaquants utilisent pour implanter des charges malveillantes, et nos évaluations cloud et Kubernetes détectent les erreurs de configuration qui transforment les charges de travail cloud en fermes de minage. Pour une assurance continue, nos services de tests d’intrusion continus et de gestion des vulnérabilités suivent le rythme des nouvelles menaces à mesure qu’elles apparaissent.

Contactez-nous dès aujourd’hui ou demandez un devis !