Участились кибератаки, направленные на пользователей мобильных устройств на базе Android с использованием скрипта для майнинга криптовалюты Monero Coinhive, сообщают эксперты компании Malwarebytes. Для того чтобы скрипт проработал на смартфоне жертвы подольше, злоумышленники используют капчу, где надо ввести буквенно-цифровой код.
Согласно данным компании Malwarebytes по этой схеме мошенники действуют с ноября прошлого года. На страницы со зловредным кодом они привлекают пользователей, размещая свои рекламные объявления на других сайтах в сети.
Исследователи обнаружили 5 доменов, используемых в кампании, на каждом из которых размещена одна и та же страница с одинаковой капчей. По их оценкам, все пять страниц в среднем посещает 800 тыс. пользователей в день, находясь на них по 4 минуты.
Пользователям предлагается ввести капчу, что иногда бывает сделать непросто. Этой особенностью и пользуются злоумышленники, загружая процессоры своих жертв на 100% для майнинга Monero. Примечательно, что решение капчи не дает желаемого результата: пользователи просто переадресовываются на главную страницу Google.
"Сложно сказать, сколько криптовалюты смогли добыть организаторы, не зная наверняка, сколько всего доменов (и трафика) они имеют, - пояснили в компании. - Из-за низкого хеш-рейта и ограниченного времени пребывания на страницах мы предполагаем, что вся схема может приносить всего несколько тысяч долларов в месяц".
Недавно обнаружилось, что сайты британских правительственных организаций, среди которых Информационная канцелярия (Information Commissioner's Office, ICO), Национальная служба здравоохранения Шотландии (Scottish NHS) и "Компания студенческих займов" (Student Loans Company) были взломаны хакерами для добычи криптовалют путем использования мощности компьютеров пользователей.
Сайты были заражены скриптом Coinhive, который, встроившись в код пораженного сайта, использовал вычислительные мощности компьютеров его посетителей для майнинга криптовалюты Monero.
Посетители взломанных хакерами сайтов были предупреждены своими антивирусными обеспечениями об опасности, однако многие подобное предупреждение проигнорировали. Компьютеры пользователей заражению вирусом не поддались, единственным неудобством для них стала замедленная работа.
Всего хакеры заразили вирусом 4700 сайтов, среди которых оказалось несколько частных: Служба медицинского обслуживания Virgin (Virgin Care), а также UK Power Networks.
Ранее аналитики компании Trend Micro сообщили, что майнинговые скрипты Coinhive добрались даже до YouTube, куда криптоджекинг проник посредством рекламной платформы Google DoubleClick.
По данным исследователей, вредоносная кампания, с использованием Google DoubleClick и скриптов JavaScript, внедренных в рекламные объявления, стартовала еще 18 января 2018 г. и резко набрала обороты 23 января. Сообщается, что большинство пострадавших находились в Японии, Франции, Италии, Испании и на Тайване.
Специалисты пишут, что атакующие использовали два майнинговых скрипта. Оба скрипта поглощали приблизительно 80% ресурса пользовательских CPU и добывали криптовалюту Monero.
