उपयोगकर्ताओं की कंप्यूटर पर ब्राउज़र को छुपाने के लिए मामूली साइटों ने सीखा

उपयोगकर्ताओं के ब्राउज़र (और अन्य जेएस खनिक) में कॉइनहाइव की क्रिप्टोक्यूरेंसी खनन संबद्ध कार्यक्रम साइबर अपराधियों के बीच अधिक से अधिक लोकप्रियता प्राप्त कर रहा है। Unsuspecting उपयोगकर्ता साइट पर जाते हैं - और ध्यान नहीं देते हैं कि उनके पास CPU लोड में तेज वृद्धि हुई है (CryptoNight एल्गोरिथ्म का उपयोग करके कॉइनहाइव खननकर्ता Monero, जो मेमोरी में एक बड़ा ब्लॉक बनाता है और आंतरिक समानतावाद को रोकता है, इसलिए खनन ASIC का उपयोग करता है और सबसे प्रभावी है) सीपीयू)।

हमलावर साइटें हैक करना और खनन स्क्रिप्ट होस्ट करना जारी रखते हैं। वही ब्राउज़र एक्सटेंशन के साथ जाता है। हाल ही में, उन्होंने CryptoLoot miner को CookieScript.info स्क्रिप्ट में भी लागू किया है, जो अन्य साइटों को यूरोपीय संघ के अनुरोध पर कुकीज़ के उपयोग के बारे में चेतावनी प्रदर्शित करने में मदद करता है - यह इस तरह की सबसे लोकप्रिय मुफ्त सेवा है, इसका उपयोग हजारों अन्य साइटों में किया जाता है, अन्यथा वे यूरोपीय संघ से $ 500,000 तक का जुर्माना लगाते हैं।

हमलावर मुस्कराहट के साथ हमलावरों की गतिविधियों को देख सकते हैं: ठीक है, वे दो मिनट में कितना उत्पादन करेंगे जो उपयोगकर्ता साइट पर खर्च करता है? ब्राउज़र में खनन की अल्पकालिक प्रकृति इस प्रकार के मैलवेयर का मुख्य दोष बनी रही। लेकिन मालवेयरबाइट लैब्स के विशेषज्ञ ध्यान देते हैं कि "माइनिंग बॉटनेट्स" के मालिक, दुर्भाग्य से, इस खामी को खत्म करने में सक्षम थे। अब उपयोगकर्ताओं के कंप्यूटरों पर खनन तब भी जारी है जब वे संक्रमित साइट को छोड़ देते हैं। और ब्राउजर को बंद करने के बाद भी।

Google Chrome ब्राउज़र में टेस्ट आयोजित किए गए थे। एनीमेशन से पता चलता है कि जब आप ब्राउज़र को एक सामान्य साइट के साथ बंद करते हैं, तो सीपीयू का उपयोग तुरंत लगभग शून्य हो जाता है। लेकिन जब आप बिल्ट-इन माइनर के साथ साइट को बंद करते हैं, तो किसी कारण से, सीपीयू का उपयोग 60% से अधिक के समान स्तर पर रहता है (छिपाने के लिए, माइनर प्रोसेसर को सही ढंग से अधिकतम तक लोड नहीं करता है)।

चाल यह है कि ब्राउज़र विंडो के दृश्यमान समापन के बावजूद, वास्तव में, Google क्रोम बंद नहीं होता है, लेकिन स्मृति में रहता है। मैलवेयर एक अदृश्य पॉप-अंडर पॉप- अप विंडो खोलता है। बेशक, यह एक बहुत ही सक्षम तकनीक है।

पॉप-अप विंडो के निर्देशांक इस तरह से चुने गए हैं जैसे टास्कबार पर घड़ी के पीछे छिपाना।


पीड़ित के कंप्यूटर पर स्क्रीन रिज़ॉल्यूशन के आधार पर, खिड़की के निर्देशांक थोड़े भिन्न हो सकते हैं, लेकिन इसे घड़ी के पीछे रखा गया है। सच है, वहाँ एक चेतावनी है। यदि ऑपरेटिंग थीम में पारभासी के साथ एक डिज़ाइन थीम है, तो विंडो अभी भी पैनल के पीछे थोड़ी सी दिखाई देती है (लेख की शुरुआत में स्क्रीनशॉट देखें)।

सुरक्षा विशेषज्ञों ने पोर्न साइटों में से एक पर जाने पर गलती से इस चाल को रोक दिया। आक्रामक विज्ञापन नेटवर्क विज्ञापन मावेन वहां काम करता है, जो विज्ञापन ब्लॉकर्स को बायपास करता है और बदले में, अमेज़ॅन क्लाउड से संसाधनों को लोड करता है - यह विज्ञापन अवरोधक को बायपास करने का एक तरीका है। यद्यपि .wasm दुर्भावनापूर्ण लोड स्वयं AWS से सीधे लोड नहीं होता है, लेकिन किसी तृतीय-पक्ष होस्टिंग से।

स्क्रिप्ट कोड में, आप कुछ कार्यों को नोटिस कर सकते हैं जो कॉइनहाइव माइनर के प्रलेखन में उल्लिखित हैं। उदाहरण के लिए, WebAssembly समर्थन के लिए एक चेक है - इस तकनीक का उपयोग करते हुए, ब्राउज़र कंप्यूटर पर स्थापित हार्डवेयर के संसाधनों का पूरी तरह से उपयोग करता है। यदि WebAssembly समर्थित नहीं है, तो माइनर एक धीमी जावास्क्रिप्ट संस्करण (asm.js) पर स्विच करता है।

जैसा कि ऊपर उल्लेख किया गया है, माइनर प्रोसेसर की आवृत्ति को 100% तक ड्राइव नहीं करता है, लेकिन लंबे समय तक चुपचाप काम करने के लिए इसे लोड करता है।

इस चालाक मैलवेयर व्यवहार को देखते हुए, विज्ञापन ब्लॉकर्स पर पूरी तरह से भरोसा करना मुश्किल है। अब, ब्राउज़र को बंद करने के बाद, आपको अभी भी यह जांचने की आवश्यकता है कि ब्राउज़र टास्कबार से गायब हो गया है, जहां चल रही प्रक्रियाएं लटक रही हैं। लेकिन अगर आइकन पैनल से जुड़ा हुआ है, तो यह कहीं भी गायब नहीं होना चाहिए। इसलिए, केवल मामले में, ब्राउज़र को बंद करने के बाद यह जांचना बेहतर है कि क्रोम प्रबंधक और कार्य प्रबंधक की तरह कोई चलने वाली प्रक्रिया नहीं है। हालांकि आजकल कई उपयोगकर्ता ब्राउज़र को कभी भी बंद नहीं करते हैं। तो अंतिम विधि बनी हुई है - प्रोसेसर लोड की लगातार निगरानी करने के लिए, मालवेयरबाइट लैब्स के विशेषज्ञ सलाह देते हैं।

वे यह सत्यापित करने के लिए संक्रमण संकेतक भी प्रकाशित करते हैं कि साइट पर कुछ भी अतिरिक्त नहीं दिखाई दिया है:

145.239.64.86,yourporn[.]sexy,Adult site
54.239.168.149,elthamely[.]com,Ad Maven popunder
52.85.182.32,d3iz6lralvg77g[.]cloudfront.net,Advertiser's launchpad
54.209.216.237,hatevery[.]info,Cryptomining site

Cryptonight WebAssembly मॉड्यूल:

fd472bd04c01a13bf402775441b0224edef4c062031e292adf41e5a5897a24bc

किसी भी कम या ज्यादा तकनीकी रूप से सक्षम व्यक्ति को इस तरह से धोखा दिए जाने की संभावना नहीं है। कम से कम लंबे समय के लिए नहीं। लेकिन उपयोगकर्ताओं की एक बड़ी संख्या है जो ब्राउज़र में क्रिप्टो खनिकों के बारे में कुछ भी नहीं जानते हैं, इसलिए ऐसे मैलवेयर बहुत लोकप्रिय हो सकते हैं।