當您的電腦或行動裝置 (如今甚至包括 IoT 裝置) 感染虛擬貨幣挖礦程式時，就會變成一台「殭屍礦工」。裝置會消耗一部分的 CPU、記憶體、磁碟和電力來幫殭屍網路挖礦，也就是幫網路犯罪集團賺錢。挖礦會耗損電腦( PC 或 Mac )的使用壽命，如果是行動裝置，則可能會造成過熱、電池膨脹、甚至整個裝置損毀，非常不值得！
那麼，您怎樣才會感染虛擬加密貨幣挖礦程式？您該如何加以預防？
所謂的「虛擬加密貨幣」是一種「設計用來作為交易媒介的數位貨幣，並採用強大的加密技術來確保金融交易安全、控管新貨幣發行、驗證資產的移轉」(參見英文維基百科「Cryptocurrency」詞條)。有別於中央銀行體系所發行的電子貨幣或紙鈔，虛擬加密貨幣採用的是去集中化點對點網路節點與公開的分散式帳簿 (也就是所謂的「區塊鏈」) 來處理並驗證交易的一種貨幣。 繼續閱讀
近來有 Mac 使用者表示其電腦的 CPU 用量與電池消耗速度都比平常更高。根據研究人員發現，這些使用者電池快速消耗的原因是某個名為「mshelper」的虛擬貨幣挖礦程式 (趨勢科技命名為：COINMINER_TOOLXMR.A-OSX) 在背後挖礦。
該程式的感染途徑據推測應該是使用者不小心下載到假的 Flash Player 安裝程式或惡意文件及軟體，而非遭到精密攻擊。研究人員在其系統上發現該挖礦程式的啟動程式「pplauncher」 (趨勢科技命名為：COINMINER_MALXMR.A-OSX) 會讓該挖礦程式持續在系統內執行，因此顯然該程式具有系統管理權限。我們發現這個 3.5MB 的啟動程式當中含有一個二進位檔案提供了 23,000 多個功能函式。背負著這麼龐大的負擔顯示該程式的作者可能對 Mac 平台不熟。
[延伸閱讀：加密虛擬貨幣挖礦惡意程式：2018 年最新威脅？]
這個啟動程式會建立一個名為「mshelper」的執行程序並利用開放原始碼挖礦工具 XMRig 來開採門羅幣 (Monero)。Mshelper是一個歹徒所使用的挖礦軟體，由於該軟體可能造成系統過熱並損壞風扇，因此最好將該軟體移除。 繼續閱讀
加密虛擬貨幣近來持續引起許多騷動。雖然部分政府致力於管理相關交易，但也有一些政府希望完全停止相關挖礦活動。趨勢科技注意到網路犯罪者持續積極參與加密貨幣挖礦惡意程式活動，包括入侵消費者的硬體圖形處理器 (GPU)，以及利用使用者的行動裝置。
俗話說，犯罪總是離不開錢財，網路犯罪者的行為再次印證了這個說法。地下世界充滿了許多加密虛擬貨幣惡意程式，犯罪者肯定很難判斷哪個最有利可圖。此類惡意程式亦稱為挖礦惡意程式 (cryptomalware)，其目標明確，就是要從加密虛擬貨幣交易中獲利。這可以透過兩種方式達成：竊取加密貨幣，以及偷偷地在受害者的裝置上進行加密虛擬貨幣挖礦，此程序亦稱為挖礦綁架。在本文中，我們將討論這兩種方式如何運作，以及研究連接至物聯網（IoT ,Internet of Thing） 的裝置 (運算能力相對較低) 是否會成為目標。
如同一般惡意程式，挖礦惡意程式也可能採取不同的形式，包括用戶端網頁指令碼以及行動應用程式等。隨著線上服務的普及，挖礦過程變得更加容易，值得注意的是，我們發現以 JavaScript 撰寫的網頁型用戶端加密貨幣挖礦惡意程式有所增加。
不過，這項威脅並不限於電腦。幾乎任何連接網際網路的裝置都可能成為挖礦殭屍網路的一部分。犯罪者只需要能夠實現此目標的程式碼，而且他們早已進行開發，本文稍後就會說明。
一般加密虛擬貨幣挖礦惡意程式的手法如下：
在2017年秋季，趨勢科技在Google Play商店中發現數個惡意虛擬貨幣挖礦應用程式。這些應用程式會利用受害者行動裝置的運算能力挖礦來幫駭客賺錢。下文讓我們先了解虛擬貨幣如何造就今日的威脅環境?
虛擬貨幣的匿名性讓駭客如虎添翼
儘管許多人認為2017是虛擬貨幣踏入主流的一年，但其實有人已經使用比特幣或其他虛擬貨幣好些年了，這是區塊鏈概念背後的主要推動力。
基本來說，虛擬貨幣可以說是一種數位或電子貨幣。但虛擬貨幣與其他數位交易間的主要區別是是比特幣等貨幣不需要中央銀行或金融服務商的驗證或支持。
「相對地，它使用加密技術來確認交易，在名為區塊鏈的公開分散式帳本上進行交易，從而實現直接的點對點支付，」Motley Fool的撰稿人Adam Levy寫道。
虛擬貨幣為良善使用者帶來許多好處，包括簡化數位交易和強化隱私。但這些優點也同樣地吸引了惡意使用者。比特幣和其他虛擬貨幣對他們來說是能幫助惡意攻擊（如勒索病毒 Ransomware (勒索軟體/綁架病毒)）的理想元素。虛擬貨幣強調隱私這事實也讓受害者付錢後無法追踪惡意攻擊者 – 正是網路犯罪分子利用它的原因。
正如阿爾斯特大學網路安全教授Kevin Curran博士對衛報撰稿人Simon Usborne所說，虛擬貨幣所能提供的匿名性是駭客之前一直苦於無法達成的能力。
Curran表示：「以前的駭客可能會要求透過西聯匯款或銀行帳戶來付錢，但這些交易只要監管當局介入就能夠追蹤。」 繼續閱讀
FacexWorm 透過 Facebook Messenger的社交工程連結散佈。這些連結會導向一個假YouTube網頁，要求不知情的使用者同意並安裝一個解碼器擴充功能（FacexWorm）以便在網頁播放影片。接著它會要求存取和變更網站資料的權限。
趨勢科技的網路安全產品團隊發現了一個惡意的Chrome擴充功能，將其命名為FacexWorm，它利用了多項技術來針對受影響瀏覽器所連到的虛擬貨幣交易平台，並且會透過Facebook Messenger散播。到目前為止只有少量使用者受到這惡意擴充功能影響，Chrome在趨勢科技警告前就已經移除許多這類的擴充功能。
FacexWorm並不新。它在2017年8月被發現，儘管當時它的意圖尚不明朗。但我們在4月8日注意到其突然出現密集的活動，這與德國、突尼西亞、日本、台灣、韓國和西班牙出現FacexWorm的外部報告一致。
我們的分析顯示FacexWorm的功能已經翻新。它保留了跟Digmine一樣會上傳和發送社交工程（social engineering）連結到受影響Facebook帳號好友的行為。但現在它還可以竊取FacexWorm所感興趣的網站帳號密碼。還能夠將受害者導向虛擬貨幣詐騙攻擊、將惡意挖礦程式碼注入網頁、重新導向攻擊者的虛擬貨幣推薦計劃連結，並且可以接收地址換成攻擊者的地址來劫持交易平台和網路錢包的交易。
雖然在檢查攻擊者地址錢包後，至今只發現一起比特幣交易被FacexWorm劫持，但我們不知道它利用惡意網頁挖礦賺得多少。
圖1、FacexWorm的感染鏈
散播
FacexWorm透過Facebook Messenger的社交工程連結散佈。這些連結會導向一個假YouTube網頁，要求不知情的使用者同意並安裝一個解碼器擴充功能（FacexWorm）以便在網頁播放影片。接著它會要求存取和變更網站資料的權限。
圖2、假YouTube網頁要求使用者安裝FacexWorm
圖3、FacexWorm所發送訊息的範例