Злоумышленники инфицировали более 3500 веб-сайтов скриптами для скрытого майнинга криптовалют. Об этом сообщила компания по кибербезопасности c/side.
Вредонос не крадет пароли и не блокирует файлы. Вместо этого он использует небольшую часть вычислительной мощности без согласия пользователей для добычи Monero. Майнер избегает подозрительной нагрузки CPU, поэтому его трудно обнаружить.
Криптоджекинг — несанкционированное использование чужих устройств для майнинга цифровых активов, как правило, без ведома их владельцев. Эта тактика появилась в 2017 году с запуском сервиса Coinhive. В 2019 его закрыли. Тогда данные о распространенности подобных вредоносов были противоречивыми: некоторые источники сообщали, что активность снизилась, но другие лаборатории фиксировали ее рост на 29%.
Спустя пять лет криптоджекинг вернулся, но в более скрытой форме. Раньше скрипты перегружали процессоры и замедляли работу устройств. Теперь главная стратегия вредоносов — оставаться незаметными и майнить медленно, не вызывая подозрений, отметил анонимный эксперт по кибербезопасности в комментарии Decrypt.
Аналитики c/side описали основные этапы атаки:
- внедрение вредоносного скрипта — в код сайта добавляется JavaScript-файл (например, karma[.]js), который запускает майнинг;
- проверка поддержки WebAssembly, типа устройства и возможностей браузера для оптимизации нагрузки;
- создание фоновых процессов;
- связь с сервером управления — через WebSockets или HTTPS скрипт получает задания для майнинга и отправляет результаты на C2-сервер — командный центр хакеров.
Вредонос не нацелен на кражу криптокошельков. Однако технически хакеры могут воспользоваться и такой функцией. В зоне риска — владельцы серверов и веб-приложений, чьи сайты становятся платформой для майнинга.
Напомним, 12 июня специалисты «Лаборатории Касперского» сообщили о новой волне скрытого майнинга в России. Хакерская группировка Librarian Ghouls, также известная как Rare Werewolf, взломала сотни российских устройств.