Coinhive - 資安趨勢部落格

Youtube 看影片電腦變好慢?當心駭客正在挖礦賺外快!

2018 年 01 月 31 日2020 年 10 月 06 日趨勢科技 TrendMicro

瀏覽網頁時，電腦變得卡卡的, CPU 使用率突然飆高?當心是挖礦程式正利用你的電腦資源挖礦!全球每天新增 300個挖礦網站，挖礦綁架無所不在,繼星巴克之後,連 Youtube 也遭殃。若您覺得電腦 CPU飆高或者發燙跑很慢,出現疑似被植入挖礦程式的跡象,您可以免費下載 PC-cillin雲端版試用版於電腦上檢測確認

濫用Google DoubleClick廣告散播,Coinhive挖礦程式翻三倍 !台灣也受影響

趨勢科技發現 Coinhive 網頁式挖礦程式的偵測數量因某波惡意廣告行動而突然翻了三倍。我們發現，這些出現在高流量網站上的惡意廣告不僅使用了 Coinhive 挖礦程式 (趨勢科技命名為：JS_COINHIVE.GN)，還使用了另一個連結到某私人礦池的網頁式挖礦程式。駭客利用了 Google 的網路廣告服務 DoubleClick 來散布其惡意程式。根據趨勢科技 Smart Protection Network™ 所看到的資料顯示，此波受影響的國家包括：日本、法國、台灣、義大利和西班牙，趨勢科技已將研究發現通報給 Google。另一方面，YouTube 也向媒體證實該站廣告被嵌入Coinhive 挖礦程式。YouTube表示已將相關廣告封鎖。為何針對 Youtube? 駭客應該是看準用戶通常看影片時停留較長時間，有更多時間挖掘加密虛擬貨幣。

延伸閱讀:惡意廣告暗藏採礦程式,一點就中! 重導向購物網站,用戶渾然不知

趨勢科技分析了含有惡意廣告的網頁，發現網頁被嵌入了兩段不同的挖礦腳本，其中一段是插入來自 DoubleClick 的廣告。雖然這些網頁所顯示的是正常廣告，但背後卻有這兩個挖礦程式在暗中執行。我們猜測，相較於入侵個別裝置，歹徒透過這些正常合法的網站廣告反而更能增加受害者數量。上述虛擬貨幣挖礦程式的流量在 1 月 24 日之後已經減少。

圖 1：惡意廣告行動的活動量變化 (1 月 18 至 24 日)。 繼續閱讀

你的電腦成為他的挖礦機?! Coinhiveh採礦程式成為第六大的惡意軟體

2017 年 11 月 21 日2017 年 11 月 30 日趨勢科技 TrendMicro

海盜灣偷藏挖礦程式曝光後，反而掀起了全球挖礦綁架的跟風，才3周，就有220個網站暗藏挖礦程式碼，5億名訪客的電腦成了挖礦肉雞，趨勢科技估計，全球每天會新增300個挖礦網站，挖礦綁架成了資安威脅清單一定要列上的新名詞,全文請看 IT Home 報導:【災情持續擴大，全球每天新增300個挖礦網站】黑色產業覬覦瀏覽器挖礦，5億訪客不知電腦變礦工

數位貨幣採礦程式 Coinhive（趨勢科技偵測為HKTL_COINMINE）在9月時為人所知，因為EITest攻擊活動用它來詐騙受害者為其服務付費或利用技術支援詐騙來取得財務資訊。而一份新的報告揭露了Coinhive的做法，將貨幣採礦程式列為世界第六常見的惡意軟體。

Coinhive 提供網站所有人和營運商可嵌入至網站的Javascript程式碼。這程式碼會秘密地使用網站訪客的電腦處理能力來挖掘門羅幣。這對雙方來說是種雙贏，因為 Coinhive 保留了一部分採礦成果，而網站所有人取得其餘的部分。不幸的是網站訪客不知道自己的電腦處理器在不知情下被使用。雖然 Coinhive本身是一家合法的公司，但是其相當可疑的運作模式往往造成惡意份子去加以濫用。

受感染系統實成為攻擊者的私人數位貨幣礦工

雖然數位採礦惡意軟體仍沒有其他惡意軟體（如勒索病毒）那樣的惡名昭彰和高知名度，但這份報告證實它正在快速地成長。數位貨幣採礦惡意軟體的主要吸引力之一是它們隱密且通常非侵入性。它所造成的性能下降和系統延遲可能令人不快，但使用者不太可能發現原因是採礦程式（如 Coinhive）。另外，這類型的惡意軟體也帶來很好的獲利機會，因為每個受感染系統實際上都成為了攻擊者的私人數位貨幣礦工。繼續閱讀

Google Play 再現加密貨幣採礦惡意程式

2017 年 11 月 04 日2017 年 11 月 06 日趨勢科技 TrendMicro

儘管行動裝置的效能是否能開採出足夠的數位加密貨幣還有待商榷，但對於受害裝置的使用者來說，壞處卻是很明顯的：裝置耗損更快、電池壽命縮短、手機效能變慢。

最近，趨勢科技在 Google Play 商店上發現了幾個具備數位加密貨幣開採能力的惡意應用程式。這些應用程式採用了 JavaScript 動態載入與原生程式碼注入技巧來躲避偵測。我們將偵測到的惡意程式命名為：ANDROIDOS_JSMINER 和 ANDROIDOS_CPUMINER。

這已非第一次這類應用程式在 Google Play 商店上架。多年前，趨勢科技在 Google Play 商店上發現的 ANDROIDOS_KAGECOIN 惡意程式家族即具備數位加密貨幣採礦能力。

ANDROIDOS_JSMINER：利用 Coinhive 程式庫進行採礦

我們先前曾經看過一些技術支援人員詐騙以及遭到駭客入侵的網站被植入 Coinhive 所開發的 JavaScript 數位加密貨幣採礦程式庫。不過這一次看到的卻是以應用程式型態出現，這就是：ANDROIDOS_JSMINER。我們發現了兩個應用程式樣本，其中一個是使用者誦經禱告幫手，另一個是提供各類折扣優惠資訊。

圖 1 和 2：Google Play 商店上的兩個 JSMINER 惡意程式樣本。

不過這兩個惡意程式樣本在啟動之後都會載入 Coinhive 所提供的一個 JavaScript 程式庫，隨即便開始用駭客的網站金鑰來開採數位加密貨幣。

圖 3：應用程式啟動之後開始採礦的程式碼。

這個 JavaScript 程式碼會在應用程式的網頁視窗中執行，但使用者卻不會看到，因為該視窗預設會以隱形模式執行。繼續閱讀

採礦程式商 Coinhive 遭駭 ! DNS 伺服器帳號因密碼強度不足遭入侵

2017 年 11 月 02 日2017 年 11 月 01 日趨勢科技 TrendMicro

Coinhive 採礦程式公司是一家相當積極的公司，專門為網站開拓另一種收入來源：不必在網頁上夾帶大量廣告，只要在網頁內嵌開採 Monero (門羅幣) 的 JavaScript 程式碼即可。這些程式碼會使用訪客裝置的運算資源來開採門羅幣。Coinhive 會從開採出來的門羅幣中收取一定比例的傭金，其餘則歸網站所有。

10 月 24 日，Coinhive 公司發出聲明表示該公司所使用的 DNS 服務帳號於 10 月 23 日遭到駭客入侵。駭客篡改了 Coinhive 的 DNS 記錄，將所有連上 coinhive.min.js 的流量指向另一台非該公司所有的伺服器。

Coinhive 在聲明中表示：「這台第三方伺服器上使用了一個修改過的 JavaScript 檔案，將網站金鑰寫死在檔案內。這基本上等於讓駭客可以竊取我們用戶開採出來的成果。」

該公司已經針對該事件出面道歉，而該事件據稱是因為密碼強度不足而引起，且此密碼是在 2014 年 Kickstarter群眾募資網站資料外洩事件當中早已外流。這當然並非第一次因為重複使用相同密碼所導致的問題。Coinhive 表示他們公司已實施了雙重認證 (2FA) 且並不重複使用相同密碼，只是該 DNS 的帳號存在已久，因而忘了更新密碼。

聲明中強調，沒有任何帳號資訊遭到外流，且該公司的網站和資料庫伺服器都沒有遭到入侵。該公司已提出用戶補償計畫，每位用戶將可獲得其網站每天 12 小時平均開採金額的補償。

帳號安全小祕訣

此事件再次突顯出網路帳號安全的重要性。使用複雜且非重複的密碼絕對有其必要，而且，企業應該妥善運用服務供應商所提供的所有安全措施。除此之外，我們也在此提供一些額外的小祕訣：

當您手上有多個網路帳號時，請務必主動勤勞更新帳戶的安全措施。因為服務供應商很可能會隨時新增一些可保護您帳號的功能或措施。
針對第三方服務，企業務必實施嚴格的管制政策，尤其是負責處理敏感資料或營運關鍵的系統。企業務必深入了解自己所採用的廠商，並且妥善控管資料的存取權限。

除此之外，採用一套有效而完整的資安解決方案，也能協助您確保網路服務的安全。趨勢科技 PC-cillin 2018 雲端版可協助您管理密碼，防止像這類最常見的網路威脅。

原文出處：Coinhive’s DNS Server Compromised Thanks to Weak Password

PC-cillin 2018雲端版防範勒索保護個資手機電腦平板，跨平台防護３到位

《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。
*手機版直接前往專頁首頁，下拉追蹤中，就能將粉絲專頁設定搶先看。

《 EITest攻擊活動》偽裝成微軟Windows通知的技術支援詐騙頁面,散佈Coinhive門羅幣採礦程式

2017 年 09 月 23 日2017 年 11 月 30 日趨勢科技 TrendMicro

趨勢科技發現惡名昭彰的EITest攻擊活動利用技術支援詐騙這種社交工程手法來散播JavaScript（JS）數位貨幣採礦程式（趨勢科技偵測為HKTL_COINMINE）。會冒充技術支援服務來欺詐不知情的受害者，騙他們電腦感染了惡意軟體，需要付費解決。

EITest攻擊活動主要是利用受駭網站進行。它的活動可以追溯到2014年，曾經使用Angler漏洞攻擊套件來散播勒索病毒。從2017年1月起，它轉向利用“HoeflerText”（一套受歡迎的字型）網路釣魚攻擊或技術支援詐騙。在一個月的時間內，我們發現了990個受駭網站被注入惡意腳本，將潛在受害者轉向到技術支援詐騙網站。不過最近他們將Coinhive JS採礦程式加入攻擊行動，將受害者電腦轉變成門羅幣礦工。分析結果還顯示這個JS數位貨幣採礦程式跟“Pirate Bay（海盜灣）”網站上所發現的“Coinhive”JS採礦程式是同一個。

延伸閱讀:電腦出現藍屏,竟是假的!! 技術支援詐騙暴增,駭客假協助,真詐財!