網頁挖礦程序以 Coinhive 為首, 色情類網站最危險
趨勢科技資深技術顧問簡勝財指出, 過去惡意挖礦程序多以木馬程序的形式進駐用戶計算機偷挖礦, 但從 2017 年起, 透過 Javascript 執行的網頁式挖礦程序越來越多, 甚至伴隨惡意廣告大規模散布. 12 日也傳出包含英, 美政府等 4,200 個網站, 皆被植入惡意挖礦程式碼.
什麼是網頁式挖礦程序? 以市佔率最高的 Coinhive 為例, 其將挖取門羅幣的程序打包在瀏覽器端的 Javascript 中, 網站業者只要在自家網站嵌入 Coinhive 程式碼, 就能利用用戶計算機運算力挖取門羅幣. Coinhive 希望網站業者可用這筆收入取代在網站植入廣告的收入, 一方面也提高用戶體驗, 而 Coinhive 則從中抽三成.
儘管 Coinhive 提醒不要在未提示用戶的情況下使用該服務, 但事實上, Coinhive 已被多個網站濫用, 偷偷盜取用戶計算機運算資源. 根據 AdGuard 研究報告, 有近 10 億名串流媒體網站的訪客被秘密地用在挖礦活動.
根據奇虎 360 旗下的網路安全研究實驗室 (Network Security Research Lab, Netlab) 調查, Alexa Top 30 萬的網站中, 有 629 (0.21%) 網站在首頁嵌入挖礦程式碼, 其中色情相關網站是主體, 佔整體 49%, 其他還有詐騙 (8%) , 廣告 (7%) , 挖礦 (7%) , 影視 (6%) 等類別, 且部分內容網站還會嵌入 2 個或更多挖礦網站.
挖礦程序不只嵌入網頁, 趨勢科技發現, 有黑客利用 Google 網路廣告服務 DoubleClick 來散布挖礦惡意軟體, 也讓 Coinhive 挖礦程序數量突然成長 3 倍, 受害地區包括日本, 法國, 台灣, 意大利與西班牙.
防堵網頁挖礦綁架, 學會 3 招自保
趨勢科技指出, 只要避免瀏覽器執行 JavaScript 應用程序, 就能防止 Coinhive 挖礦程序使用 CPU 資源. 此外, 定期修補, 定期更新軟體, 尤其是網頁瀏覽器, 也能降低加密貨幣挖礦程序的影響.
不只是計算機, 手機同樣會受網頁式挖礦程序影響, 但更難察覺. 簡勝財建議, 可用有網頁過濾機制的防毒應用程序加以防範. 此外, 趨勢科技也推出瀏覽器 App「Trend Micro Zero」, 可阻擋內嵌挖礦程序, 降低裝置電量耗損, 但目前僅有 iOS 版本.