比「壞兔子」更可怕，數千網站正被惡意利用
最近我們報道了目前正在全球爆發的ransomware攻擊「 壞兔子 」 的新聞，我們以為不可能會有比這更糟糕的了事情了。然而，在昨晚深夜，我收到了一個通知，指出Coinhive已經被黑客入侵。
眾所周知，這是一種在現下比較流行的基於瀏覽器的服務，它提供了網站所有者嵌入的JavaScript，如此一來，就可以通過利用網站訪問者的CPU來挖掘Monero的安全性。
據報道，有黑客入侵了 Coinhive 的 CloudFlare 帳戶，修改了網站的 DNS，並將 Coinhive 官方的 javascript 代碼（https://coin-hive[.]com/lib/coinhive.min.js ）替換成惡意版本，分發給上千的網站。
2014年數據泄露的黑客重用漏洞
這次的 Coinhive 賬戶密碼是在 2014 年的 Kickstarter 事件泄露出來的。很明顯 CoinHive 並沒有修改密碼， 這也給了黑客可乘之機。
這個第三方伺服器託管了具有硬編碼站點密鑰的JavaScript文件的修改版本。
結果，成千上萬個使用協同腳本的的網站被騙了至少六個小時，在此期間載入一個修改後的代碼，就會為黑客（而不是實際的站點所有者）挖掘Monero的安全性。
我們在安全上做的功課還是挺多的，並且所有的服務都使用了兩步驗證，而且所有的密碼都是不同的，但我們還是忘記修改兩年前的 Cloudflare 賬戶密碼了。」
您的網路瀏覽器可能會為陌生人秘密挖礦
事實上，Coinhive之所以獲得眾多媒體的關注，是因為該網站秘密地使用了基於瀏覽器的隱私礦工。在它之後，就有數以千計的網站也開始使用Coinhive來作為替代貨幣化模式，並通過利用訪客的CPU處理能力來挖掘數字貨幣。
現在黑客也使用了Coinhive服務，並通過秘密注入腳本從受到攻擊的網站賺錢。實際上，該公司到現在還在尋找方法來償還因違約而導致的用戶收入損失。
如何阻止網站劫持你的CPU挖礦
由於上述擔憂，一些防病毒產品，包括Malwarebytes和卡巴斯基，也開始阻止Coinhive腳本，以防止他們的客戶遭到未經授權的挖掘和廣泛的CPU使用。
※iPhone攝像功能會泄露用戶隱私，且沒有解決辦法
※谷歌漏洞庫系統驚現高危漏洞，分分鐘查看所有漏洞報告
※利用「量子插入」技術繞過IP限制
※利用BDF向DLL文件植入後門
TAG:嘶吼RoarTalk |