近日，Bad Packets報(bào)告公司的研究員Troy Mursch 從美國第三大報(bào)紙“洛杉磯時(shí)報(bào)”的交互式“Homicide報(bào)告”網(wǎng)頁上發(fā)現(xiàn)了加密劫持代碼，這些代碼悄悄的利用訪客的CPU 挖掘門羅幣。

Mursch指出，目前由Coinhive公司創(chuàng)建的密幣礦機(jī)已被刪除。Coinhive向網(wǎng)站提供門羅幣Java礦機(jī)，以非傳統(tǒng)方式讓網(wǎng)站內(nèi)容變現(xiàn)。

Coinhive的Java礦機(jī)軟件通常被黑客悄悄的內(nèi)核到網(wǎng)站中，然后利用網(wǎng)站訪客的手機(jī)，平板設(shè)備和計(jì)算機(jī)的CPU處理能力挖掘門羅幣。

礦機(jī)被節(jié)流攻擊難檢測

Mursch指出，在“洛杉磯時(shí)報(bào)”的案例中，由于礦機(jī)已被節(jié)流，因此對訪客產(chǎn)生的影響已減弱而且難以被檢測到。一般而言，加密劫持攻擊不會被節(jié)流而且會使用目標(biāo)100%的CPU挖礦，從而導(dǎo)致受害者的手機(jī)或計(jì)算機(jī)因處理器負(fù)荷過重而出現(xiàn)過熱的情況。

Mursch指出，“訪客CPU所受的影響大小因節(jié)流規(guī)模的不同而不同。在洛杉磯時(shí)報(bào)網(wǎng)站的案例中，因?yàn)榈V機(jī)被節(jié)流到很低，因此一般用戶很可能根本意識不到礦機(jī)在后臺運(yùn)行”。

這種節(jié)流方法似乎已奏效，加密劫持代碼也隱藏了一段時(shí)間.Mursch認(rèn)為Java加密劫持代碼至少從2月9日起就被隱藏到了網(wǎng)站上。

Mursch指出，當(dāng)時(shí)他在調(diào)查洛杉磯時(shí)報(bào)的亞馬遜AWS S3存儲桶配置不當(dāng)問題。由于AWS S3存儲桶配置不當(dāng)，導(dǎo)致任何人都能將代碼寫入服務(wù)器和“自殺報(bào)告”網(wǎng)站中。

“洛杉磯時(shí)報(bào)”尚未就此事置評。

Mursch表示已通過郵件將加密劫持惡意軟件事件告知“洛杉磯時(shí)報(bào)”并建議后者盡快將其刪除。

挖礦軟件曾劫持政府站點(diǎn)

Mursch指出，這款Coinhive密幣挖礦軟件此前多次曾被秘密用于英國和美國政府網(wǎng)站及其它新聞媒體網(wǎng)站上。本周初，來自RedLock公司的研究人員指出，特斯拉也受密幣挖礦攻擊，當(dāng)時(shí)配置不當(dāng)?shù)膩嗰R遜S3存儲桶導(dǎo)致受害者將密幣挖礦惡意軟件植入特斯拉的云環(huán)境中.Mursch表示，沒有人知道背后黑手是誰，盡管Coinhive聲稱已終止該軟件。

“在洛杉磯時(shí)報(bào)等案例中，最容易的預(yù)防方法是確保自己的云服務(wù)如AWS得到正確的保護(hù)?！痹诼迳即墪r(shí)報(bào)的“應(yīng)該對這種類型的攻擊，Mursch建議企業(yè)正確保護(hù)云服務(wù)的安全和監(jiān)控所有服務(wù)。案例中，似乎任何人都可以在他們的AWS存儲桶中寫入代碼，從而導(dǎo)致攻擊者將加密劫持代碼寫入其中。”