Comment savoir si votre PC mine de la crypto à votre insu

Une machine qui souffle en pleine nuit alors que rien n’est ouvert, un ordinateur portable brûlant sur un bureau vide, une facture d’électricité qui grimpe sans explication : ces trois signes reviennent chez tous ceux qui découvrent un mineur de cryptomonnaie caché sur leur ordinateur. Le principe du parasite est simple. Il emprunte votre processeur ou votre carte graphique pour calculer des hachages, encaisse la récompense sur un portefeuille qui n’est pas le vôtre, et vous laisse la facture d’électricité et l’usure du matériel. Voici comment le repérer, l’identifier et le sortir de la machine.

• Les signes qui doivent alerter, et ceux qui ne veulent rien dire

• Les vérifications dans le gestionnaire des tâches, dans l’ordre

• Les outils qui voient ce que le gestionnaire des tâches ne montre pas

• Le cryptojacking par le navigateur, un cas à part

• Ce qu’on fait quand le mineur est confirmé

• Miner volontairement, c’est un tout autre sujet

Les signes qui doivent alerter

Un mineur caché ne se cache jamais complètement. Il lui faut de la puissance de calcul, et la puissance de calcul se voit, s’entend et se paie.

La machine chauffe et souffle sans rien faire

C’est le symptôme numéro un. Vous fermez tout, vous ne touchez plus à rien, et les ventilateurs restent à plein régime. Rien ne redescend. Un portable devient brûlant au niveau des grilles d’aération et sa batterie se vide deux fois plus vite qu’avant, y compris en veille. Au repos, un processeur de bureau tourne entre 35 et 45 °C ; sous un mineur, il tient 80 à 95 °C en permanence.

Un ordinateur au repos doit être silencieux. Si le ventilateur s’emballe 5 minutes après le démarrage, alors que la session vient de s’ouvrir et qu’aucune application n’est lancée, quelque chose travaille.

Tout devient lent, par à-coups

Les mineurs modernes sont polis. Beaucoup se brident à 50 ou 70 % de la puissance disponible pour rester discrets, et lâchent la main dès que vous ouvrez une fenêtre. Le résultat, c’est une lenteur intermittente. Le navigateur rame 30 secondes, puis redevient normal. Un jeu perd la moitié de ses images par seconde sans raison. Un rendu vidéo prend le double du temps habituel.

La facture d’électricité grimpe

Au repos, une carte graphique récente consomme 10 à 20 W. Sous un mineur, elle monte à 150 ou 250 W et n’en redescend plus. Comptez 144 kWh sur un mois complet pour 200 W supplémentaires, soit près de 29 € au tarif réglementé français. C’est visible sur une facture, et c’est autant d’argent qui part chez quelqu’un d’autre.

Ce qui ne prouve rien

Un pic de processeur pendant une mise à jour Windows, un antivirus qui lance son analyse hebdomadaire, l’indexation de la recherche après l’ajout de milliers de fichiers : ces charges-là sont normales et s’arrêtent seules. Avant de crier au mineur, laissez la machine tranquille 20 minutes et regardez si la charge retombe.

Savoir si un PC est utilisé pour miner : les vérifications dans le gestionnaire des tâches

Pour savoir si un PC est utilisé pour miner de la crypto, on commence toujours par là. C’est gratuit et ça suffit dans la majorité des cas. Ouvrez le gestionnaire des tâches avec Ctrl + Maj + Échap, sans passer par le menu Démarrer.

Onglet Processus : trier par charge

Cliquez sur l’en-tête de la colonne UC pour trier du plus gourmand au moins gourmand, puis faites la même chose avec la colonne GPU. Un processus inconnu qui occupe 40 % ou plus de façon continue, sans fenêtre ouverte, mérite un examen. Les variantes de XMRig, la plus répandue, tournent le plus souvent entre 50 et 100 % du processeur.

Les noms les plus courants sont sans équivoque : xmrig, cpuminer, nbminer, phoenixminer. Les plus malins se déguisent en composant système avec un nom presque juste, du genre svhost.exe ou winlogon32.exe. Clic droit, « Ouvrir l’emplacement du fichier » : un vrai svchost.exe vit dans C:\Windows\System32 et nulle part ailleurs. Un exécutable système qui traîne dans AppData ou dans un dossier temporaire n’en est pas un.

Onglet Performances : la charge de la carte graphique au repos

C’est la vérification que la plupart des gens sautent, et c’est la plus parlante. Sélectionnez le GPU dans la colonne de gauche. Chaque graphique porte un menu déroulant qui permet de changer de moteur : au lieu de 3D, choisissez Compute_0 ou Cuda. Un mineur graphique ne charge pas le moteur 3D, il charge le moteur de calcul, ce qui explique pourquoi tant de gens regardent le bon écran sans rien voir.

Au repos, ces courbes doivent être à plat. Une ligne stable à 90 % pendant que le bureau ne fait rien ne laisse aucun doute.

Onglet Détails : la ligne de commande, la preuve définitive

C’est ici que l’affaire se règle. Dans l’onglet Détails, clic droit sur l’en-tête des colonnes, puis « Sélectionner des colonnes », et cochez « Ligne de commande ». La colonne apparaît, et avec elle les arguments passés à chaque programme au lancement.

Un mineur a besoin de deux choses pour fonctionner : l’adresse d’un pool et une adresse de portefeuille. Elles sont écrites en clair dans sa ligne de commande, sous la forme d’une URL qui commence par stratum+tcp:// suivie d’une longue suite de caractères. Aucun logiciel légitime n’a ça dans ses arguments. La question est réglée. Notez cette ligne entière avant de fermer la fenêtre.

Le piège : le mineur qui se met en pause

Certaines familles surveillent les processus en cours et arrêtent le minage dès que le gestionnaire des tâches s’ouvre. Vous regardez, tout est calme, vous fermez la fenêtre, et le ventilateur repart 30 secondes plus tard. Ce comportement est documenté depuis 2019. Il est devenu banal.

Deux parades. Laissez le gestionnaire des tâches ouvert 5 à 10 minutes sans y toucher : beaucoup de variantes finissent par reprendre. Ou passez par un outil que le malware ne surveille pas, ce qui est l’objet de la section suivante.

Les outils qui voient ce que le gestionnaire des tâches cache

Quand le doute persiste, on change d’instrument. Tous ceux qui suivent sont gratuits.

Process Explorer

C’est le gestionnaire des tâches de Microsoft en version complète, distribué avec la suite Sysinternals. Il affiche l’arborescence des processus, le parent de chacun, l’éditeur de la signature numérique, et surtout il se connecte à VirusTotal : dans le menu Options, activez la vérification VirusTotal, et une colonne de score apparaît en face de chaque processus. Un binaire détecté par 40 moteurs sur 70 n’a pas besoin d’autre commentaire.

Autoruns

Un mineur qui disparaît au redémarrage ne rapporte rien. Il s’accroche donc quelque part : clé de registre, service, tâche planifiée, dossier de démarrage. Autoruns, de la même suite, liste tous ces points d’ancrage sur un seul écran. Cochez « Hide Microsoft entries » pour ne garder que ce qui n’appartient pas au système, et lisez ligne par ligne.

Le Planificateur de tâches de Windows, ouvert avec taskschd.msc, mérite le même passage. Une tâche qui se déclenche à chaque ouverture de session et pointe vers un exécutable au nom aléatoire dans un dossier temporaire est une signature de mineur.

Le Moniteur de ressources et les connexions réseau

Un mineur parle en permanence à son pool. Ouvrez resmon.exe, onglet Réseau, section Connexions TCP : vous voyez quel processus discute avec quelle adresse et sur quel port. Les ports 3333, 4444 et 5555 reviennent souvent dans les configurations de pools. En ligne de commande administrateur, netstat -abno donne la même information sous forme de liste.

Les sondes matérielles

HWiNFO et GPU-Z lisent les capteurs de la carte graphique : charge du GPU, consommation en watts, température du cœur et de la mémoire. Ces chiffres ne mentent pas. Un relevé pris pendant que rien ne tourne fixe le doute en 30 secondes. Pour comparer, la consommation au repos d’une carte de génération récente comme une GeForce RTX 5070 en usage de minage donne un ordre de grandeur utile entre le repos et la pleine charge.

Le nom de la menace, en anglais

Les bases de signatures nomment ces familles en anglais : Trojan:Win32/CoinMiner, RiskWare.BitCoinMiner, et ainsi de suite. Chercher le nom exact affiché par l’antivirus mène à la fiche de la famille et à sa méthode de persistance. Sur les forums d’entraide, la question se pose dans les mêmes termes, how to check if i have a crypto miner on my pc, et les réponses tournent toujours autour des mêmes trois vérifications : charge au repos, ligne de commande, points de démarrage automatique. Attention aux fils intitulés bitcoin mining pc, qui mélangent la panne subie et le montage volontaire.

Le cryptojacking par le navigateur

Ce cas-là ne laisse aucun fichier sur le disque. Le code de minage tourne dans un onglet, en JavaScript ou en WebAssembly, et s’arrête quand l’onglet se ferme. Il a explosé fin 2017 avec un service qui vendait des scripts de minage clés en main aux éditeurs de sites. Ce service a fermé en mars 2019. La technique, elle, lui a survécu.

Repérer l’onglet coupable

Chrome et Edge ont leur propre gestionnaire des tâches, ouvert par Maj + Échap, ou par le menu, Plus d’outils, Gestionnaire de tâches. Il liste chaque onglet et chaque extension avec sa consommation processeur. Le coupable saute aux yeux. Un onglet de site d’actualité à 80 % de processeur n’affiche pas du texte, il calcule.

Les extensions sont l’autre porte d’entrée, et la plus vicieuse, parce qu’une extension tourne même quand le site qui l’a installée est fermé. Passez la liste dans les paramètres du navigateur, retirez tout ce que vous ne reconnaissez pas, et méfiez-vous des extensions rachetées qui changent de comportement après une mise à jour silencieuse.

Bloquer en amont

Un bloqueur de contenu sérieux filtre les scripts de minage connus par défaut. Les listes de filtres spécialisées ajoutent les domaines de pools utilisés côté navigateur. Ce n’est pas parfait contre un script hébergé en propre, mais ça arrête l’écrasante majorité des cas.

Les serveurs, cible privilégiée

Le poste de travail n’est pas la seule victime. Les machines exposées en permanence intéressent bien plus les attaquants, parce qu’elles tournent 24 heures sur 24 et que personne ne regarde leurs ventilateurs. Le calcul de l’attaquant est vite fait. Le cas d’un malware qui se propage seul entre conteneurs Docker pour miner illustre la mécanique : une interface d’administration laissée ouverte, un conteneur créé à distance, et le minage démarre.

Le mineur est confirmé : la marche à suivre

L’ordre compte. Faire les choses dans le désordre laisse repartir le programme au redémarrage suivant.

• Notez le nom exact du processus, son chemin complet et sa ligne de commande avant de le tuer. Sans cette note, vous cherchez à l’aveugle ensuite.

• Coupez le réseau, câble débranché ou Wi-Fi désactivé. Beaucoup de mineurs arrivent avec un voleur d’identifiants dans le même paquet.

• Lancez l’analyse hors ligne de Microsoft Defender, dans Sécurité Windows, Protection contre les virus et menaces, Options d’analyse. Elle redémarre la machine et travaille avant le chargement de Windows, ce qui règle les cas qui résistent en session ouverte. Comptez 15 minutes.

• Passez un second outil derrière, d’un autre éditeur. Deux moteurs valent mieux qu’un sur cette famille de menaces.

• Repassez dans Autoruns et le Planificateur de tâches pour supprimer les points d’ancrage restants. Un nettoyage antivirus retire souvent le binaire sans retirer la tâche qui le retélécharge.

• Changez vos mots de passe depuis une autre machine, en commençant par la messagerie et les comptes bancaires.

• Vérifiez l’état du matériel. Plusieurs mois à pleine charge usent la pâte thermique et les pads mémoire d’une carte graphique.

Si la machine porte des données sensibles ou si le mineur est arrivé avec un logiciel piraté, la réinstallation propre reste la seule réponse fiable. Les paquets de ce type embarquent rarement une seule charge utile.

Par où ça entre

Miner de la crypto monnaie avec son PC, volontairement cette fois

Rien n’interdit de faire tourner un mineur chez soi. C’est même une activité déclarée et encadrée en France, et le sujet du cadre légal du minage de cryptomonnaie se traite à part. La différence avec le cas précédent tient en un mot : vous savez ce qui tourne, sur quel pool, et vers quel portefeuille part la récompense.

Un point vaut d’être connu si vous vous lancez : les antivirus détectent les logiciels de minage comme des programmes indésirables, même installés de votre plein gré. Ce n’est pas une erreur, c’est le classement « riskware », dû au fait que ces mêmes binaires servent aux campagnes malveillantes. Il faut alors créer une exclusion explicite, en connaissance de cause.

Le matériel décide de tout le reste. Une machine de bureau ordinaire ne rembourse pas son électricité. Un PC minage crypto obéit à d’autres règles : rapport hachage par watt, alimentation surdimensionnée, ventilation ouverte, et un emplacement qui supporte le bruit. Le détail du choix d’un PC de minage crypto et de sa configuration mérite sa propre lecture avant tout achat. Pour un premier tour d’horizon du fonctionnement, le minage expliqué à ceux qui débutent pose les bases, et les rigs de minage assemblés pour débutants montrent à quoi ressemble une installation dédiée.

Questions fréquentes

• Comment savoir si votre PC est utilisé pour miner de la crypto sans rien installer ?
  Trois écrans suffisent, tous déjà présents dans Windows : l’onglet Performances du gestionnaire des tâches avec le graphique GPU réglé sur Compute, la colonne Ligne de commande de l’onglet Détails, et le Planificateur de tâches.

• Un antivirus à jour suffit-il ?
  Pas toujours. Les mineurs installés manuellement par un attaquant utilisent souvent des binaires légitimes, signés, que l’antivirus laisse passer ou signale sans bloquer. La vérification manuelle reste nécessaire.

• Le minage caché peut-il abîmer le matériel ?
  Il l’use. Six mois à pleine charge dégradent la pâte thermique, fatiguent les roulements des ventilateurs et font vieillir les condensateurs de l’alimentation. Le gonflement de la batterie, sur un portable maintenu à 100 % de charge et à 90 °C, est un dégât fréquent.

• Comment savoir ce que le mineur a rapporté à son propriétaire ?
  L’adresse de portefeuille lue dans la ligne de commande se consulte sur un explorateur de blockchain. On y voit les versements reçus, sans jamais remonter à une identité.

• Le téléphone est-il concerné ?
  Oui, par des applications qui minent en arrière-plan. Les symptômes sont les mêmes : chauffe, batterie qui fond, appareil qui rame. Le remède aussi, désinstaller et vérifier ce qui reste actif en arrière-plan.