搜索

[12119] 2017-12-12_新型浏览器挖矿技术可在浏览器窗口关闭的情况下持续挖矿

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2017-12-12_新型浏览器挖矿技术可在浏览器窗口关闭的情况下持续挖矿 新 型 浏 览 器 挖 矿 技 术 可 在 浏 览 器 窗 口 关 闭 的 情 况 下 持 续 挖 矿 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 1 2 - 1 2 写 在 前 面 的 话 写 在 前 面 的 话 在 之 前 的 文 章 中 ， 我 们 给 大 家 介 绍 了 基 于 在 之 前 的 文 章 中 ， 我 们 给 大 家 介 绍 了 基 于 W e b 的 挖 矿 恶 意 软 件 的 相 关 内 容 。 通 过 观 察 发 现 ， 越 来 越 多 的 攻 击 者 的 挖 矿 恶 意 软 件 的 相 关 内 容 。 通 过 观 察 发 现 ， 越 来 越 多 的 攻 击 者 开 始 使 用 臭 名 昭 著 的 开 始 使 用 臭 名 昭 著 的 C o i n h i v e 服 务 （ 允 许 网 站 使 用 目 标 用 户 硬 件 资 源 挖 门 罗 币 ） 来 实 施 攻 击 了 。 与 此 同 时 ， 越 服 务 （ 允 许 网 站 使 用 目 标 用 户 硬 件 资 源 挖 门 罗 币 ） 来 实 施 攻 击 了 。 与 此 同 时 ， 越 来 越 多 的 服 务 器 和 来 越 多 的 服 务 器 和   服 务 插 件 开 始 受 到 了 挖 矿 型 恶 意 软 件 的 感 染 。 服 务 插 件 开 始 受 到 了 挖 矿 型 恶 意 软 件 的 感 染 。 对 于 之 前 可 持 续 性 感 染 的 挖 矿 型 恶 意 软 件 ， 我 们 之 前 所 分 析 的 基 于 W e b 的 恶 意 挖 矿 软 件 最 大 的 缺 点 就 是 无 法 在 目 标 系 统 中 持 续 挖 矿 。 实 际 上 ， 当 用 户 关 闭 了 浏 览 器 之 后 ， 它 们 的 挖 矿 活 动 将 会 停 止 ， 并 影 响 攻 击 者 的 收 益 。 但 是 ， 我 们 近 期 发 现 了 一 种 新 型 浏 览 器 挖 矿 技 术 ， 而 这 种 技 术 可 在 浏 览 器 窗 口 关 闭 的 情 况 下 持 续 挖 门 罗 币 。 我 们 对 多 款 浏 览 器 进 行 了 测 试 ， 其 中 包 括 最 新 版 本 的 C h r o m e 。 我 们 发 现 ： 1 .   当 用 户 访 问 了 恶 意 网 站 之 后 ， 该 网 站 可 在 后 台 悄 悄 加 载 挖 矿 代 码 。 2 .   C P U 占 用 率 上 升 ， 但 不 会 到 1 0 0 % 。 3 .   用 户 浏 览 完 毕 ， 关 闭 C h r o m e 窗 口 。 4 .   C P U 活 动 仍 保 持 高 占 用 率 ， 因 为 挖 矿 活 动 仍 在 进 行 。
在 这 种 技 术 中 ， 虽 然 浏 览 器 窗 口 已 经 被 关 闭 ， 但 还 有 一 个 隐 藏 窗 口 仍 处 于 打 开 状 态 ， 因 为 恶 意 代 码 会 创 建 一 个 浏 览 器 窗 口 ， 并 将 其 隐 藏 在 任 务 栏 右 下 角 的 时 间 后 面 ， 隐 藏 窗 口 会 基 于 用 户 屏 幕 的 分 辨 率 来 进 行 调 整 ， 适 配 规 则 如 下 ： 1 .   水 平 位 置 =   （ 当 前 屏 幕   x 分 辨 率 ）   - 1 0 0 2 .   垂 直 位 置 =   （ 当 前 屏 幕 y 分 辨 率 ）   - 4 0 如 果 W i n d o w s 主 题 允 许 任 务 栏 透 明 ， 那 么 细 心 的 用 户 可 能 就 会 发 现 这 个 隐 藏 窗 口 了 ：
揭 开 揭 开 “ 神 秘 面 纱 神 秘 面 纱 ” 通 过 分 析 网 络 流 量 ， 我 们 就 可 以 了 解 到 这 种 流 氓 浏 览 器 窗 口 是 从 何 而 来 的 ， 并 且 知 道 它 加 载 了 哪 些 恶 意 内 容 。 隐 藏 窗 口 ( e l t h a m e l y [ . ] c o m ) 是 由 广 告 网 络 服 务 商 A d   M a v e n 启 动 的 ， 它 负 责 从 A m a z o n ( c l o u d f r o n t [ . ] n e t ) 加 载 资 源 。 这 并 不 是 第 一 个 托 管 在 A W S 上 的 挖 矿 恶 意 软 件 ， 但 是 它 还 可 以 从 其 他 域 名 ( h a t e v e r y . i n f o ) 获 取 P a y l o a d 。 我 们 从 网 页 代 码 中 发 现 了 部 分 直 接 从 C o i n h i v e 文 档 中 拷 贝 过 来 的 函 数 ， 例 如 . h a s W A S M S u p p o r t ( ) ， 它 负 责 检 查 浏 览 器 是 否 支 持 W e b A s s e m b l y 。 如 果 不 支 持 的 话 ， 它 将 恢 复 使 用 较 低 版 本 的 J a v a S c r i p t ( a s m . j s ) 。
恶 意 代 码 会 从 h a t e v e r y [ . ] i n f o 下 载 W e b A s e m b l y 模 块 （ . w a s m ） ， 其 中 包 含 了 指 向 c r y p t o n i g h t （ 用 来 挖 门 罗 币 的 A P I ） 的 引 用 。 正 如 之 前 所 提 到 的 ， 挖 矿 活 动 并 不 会 占 用 掉 目 标 用 户 设 备 的 所 有 资 源 ， 这 样 才 能 尽 可 能 地 让 恶 意 活 动 不 被 发 现 。 感 染 可 持 续 感 染 可 持 续 需 要 注 意 的 是 ， 这 种 基 于 浏 览 器 的 挖 矿 恶 意 软 件 可 以 绕 过 大 多 数 广 告 屏 蔽 工 具 ， 再 加 上 它 使 用 了 这 种 “ 卑 鄙 ” 的 小 伎 俩 来 隐 藏 自 己 ， 所 以 它 并 不 容 易 被 发 现 。 除 此 之 外 ， 右 键 点 击 任 务 栏 的 浏 览 器 图 标 并 选 择 “ 关 闭 窗 口 ” 也 没 办 法 彻 底 终 止 它 的 运 行 。 可 能 某 些 懂 技 术 的 用 户 会 打 开 任 务 管 理 器 并 终 止 所 有 的 浏 览 器 进 程 运 行 ， 但 终 止 之 后 任 务 栏 的 浏 览 器 图 标 仍 然 会 存 在 ， 这 表 明 该 恶 意 软 件 仍 处 于 运 行 状 态 。
此 类 攻 击 将 越 来 越 常 见 此 类 攻 击 将 越 来 越 常 见 自 C o i n h i v e 首 次 出 现 的 两 个 月 之 后 ， 基 于 浏 览 器 的 挖 矿 恶 意 软 件 仍 然 非 常 受 攻 击 者 的 欢 迎 。 因 此 ， 我 们 建 议 广 大 用 户 可 以 尝 试 下 载 更 多 的 广 告 屏 蔽 软 件 、 插 件 、 以 及 其 他 安 全 防 护 产 品 来 保 护 自 己 的 安 全 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C
C r y p t o n i g h t W e b A s s e m b l y 模 块 ： 模 块 ： *   参 考 来 源 ： m a l w a r e b y t e s ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理