Què fer si l'script de mineria Coinhive ha infectat el vostre lloc

Si sou un professional de les TI i heu descobert que l'script de mineria Coinhive ha infectat el vostre lloc, hi ha algunes coses que podeu fer per netejar-lo. En primer lloc, voldreu executar una exploració de programari maliciós al vostre lloc per assegurar-vos que no s'executen altres scripts maliciosos. Un cop hàgiu confirmat que l'script Coinhive és l'únic que hi ha al vostre lloc, podeu eliminar-lo suprimint l'script del vostre servidor. Si no esteu segur de com fer-ho, podeu contactar amb el vostre proveïdor d'allotjament per obtenir ajuda. Un cop eliminat l'script Coinhive del vostre lloc, voldreu canviar totes les vostres contrasenyes. Això inclou la contrasenya del vostre compte d'allotjament, la contrasenya de CMS i qualsevol altra contrasenya que utilitzeu per accedir al vostre lloc. També és una bona idea canviar les contrasenyes a qualsevol altre lloc on utilitzeu la mateixa contrasenya. D'aquesta manera, si la vostra contrasenya està compromesa, els atacants no podran utilitzar-la per accedir a altres llocs. Finalment, voldreu assegurar-vos que teniu una còpia de seguretat del vostre lloc. D'aquesta manera, si el vostre lloc es torna a piratejar, podeu restaurar-lo des de la vostra còpia de seguretat. Si no teniu una còpia de seguretat, podeu contactar amb el vostre proveïdor d'allotjament per veure si té una còpia de seguretat del vostre lloc. Si seguiu aquests passos, podeu netejar el vostre lloc i assegurar-vos que sigui segur.

He llegit sobre els propietaris de llocs web que utilitzen scripts als seus llocs web que utilitzen el processador de l'ordinador del visitant quan visiten el seu lloc web. La idea és monetitzar el seu contingut; per tant, en comptes d'anuncis, utilitzen un script que s'executa al navegador i utilitza els recursos de l'ordinador de l'usuari per extreure criptomoneda. Però solia pensar que només els propietaris de llocs web ho feien per disseny; mai em vaig imaginar que els pirates informàtics poguessin piratejar llocs i distribuïu l'script a altres llocs web i utilitzeu la CPU dels visitants per guanyar diners per ells mateixos. Però això és el que sembla que està passant ara!

Coinhive Crypto Mining Script

Ahir quan estava al nostre Fòrum TWC que s'executa amb el programari vBulletin, el meu programari de seguretat em va donar l'advertència següent:

https://coinhive dot com /lib/coinhive.js S'ha trobat un fitxer d'objecte, descàrrega bloquejada

Normalment vaig al fòrum cada dia, però el dia abans no el vaig veure. Per tant, suposo que va passar a la nit, durant el meu temps quan dormia.

Estic utilitzant el programa del fòrum vBulletin i s'ha actualitzat a la darrera versió. A més, això va ser força inesperat per a nosaltres, ja que el domini TheWindowsClub.com utilitza Antivirus i Firewall Web Juices per protegir-se de les amenaces i atacs en línia.

El meu programa de seguretat per a PC ha aturat correctament un script maliciós que s'executa al meu ordinador amb Windows 10. Vaig provar amb altres navegadors com Chrome i Edge i els resultats van ser els mateixos.

necessitem la contrasenya per sincronitzar aquest bloc de notes. (codi d'error: 0xe0000024)

Després de fer clic amb el botó dret a la pàgina web del fòrum i comprovar el codi font, vaig trobar que era un script CryptoMiner maliciós per a CoinHive.

Aquest és el codi Javascript de Coinhive maliciós que va entrar al meu codi del fòrum:

De totes maneres, el primer que vaig fer va ser desactivar el fòrum i informar a Sukuri.

Els nois de Sukuri van netejar el fòrum de l'script Coinhive, que es va col·locar al meu fòrum en poques hores, i això és tot va estar bé.

Què és CoinHive

Coinhive ofereix un miner JavaScript de Monero que podeu incrustar al vostre lloc web i utilitzar la CPU dels ordinadors dels visitants del lloc web per extraure monedes.

Es diu Criptojacking . Implica segrestar els navegadors dels usuaris per explotar criptomoneda. Alguns propietaris de llocs web poden utilitzar-lo per guanyar diners ells mateixos, però en el nostre cas es va introduir.

Quan un usuari visita un lloc infectat, Coinhive JavaScript s'inicia i explota Monero utilitzant els recursos de la CPU de l'usuari. Això pot provocar una acceleració de la CPU i una fallada inesperada del sistema a la màquina de la víctima.

Ara, si el vostre navegador està infectat, veureu augmentar l'ús de recursos. Tanqueu el navegador i es bloquejarà. L'usuari pot notar que la seva màquina s'està escalfant, el ventilador funciona ràpidament o la bateria s'esgota ràpidament.

Vaig preguntar al meu company Saurabh Mukhekar visiteu el meu fòrum utilitzant-lo Mac i a veure què va passar. Bé, el seu Mac també va patir quan va obrir el fòrum amb Safari! És un d'aquests usuaris intel·ligents de Mac OSX que utilitzen programari antivirus per al seu Mac. El seu antivirus Avast per a Mac va aturar amb èxit l'execució de l'script maliciós.

Saurab va dir:

El programari maliciós CoinHive segresta no només els ordinadors Windows, sinó també els Mac, ja que és una infecció de Javascript a través del navegador. És bo que no crec en el mite que un Mac no necessita programari antivirus, en cas contrari, la meva màquina s'infectaria i el meu Mac continuaria emetent monedes per a algú altre.

Eviteu que CoinHive infecti el vostre lloc

1. No utilitzeu cap plantilla o connector NULL al vostre lloc/fòrum.
2. Actualitzeu el vostre CMS a la darrera versió.
3. Actualitzeu el vostre programari d'allotjament (PHP, bases de dades, etc.) regularment.
4. Protegiu el vostre lloc amb proveïdors de seguretat web com Sucuri, Cloudflare, Wordfence, etc.
5. Prengui bàsic precaucions per protegir el vostre bloc .

Eliminació del miner CoinHive del lloc

En primer lloc, heu de ser l'administrador web del lloc web infectat o tenir credencials d'administrador que us permetin accedir a tots els fitxers del lloc web.

Ara que el vostre antivirus ha detectat la infecció de CoinHive, feu clic amb el botó dret a la pàgina web i seleccioneu Veure el codi font . Premeu següent Ctrl + F i cerqueu 'CoinHive'.

Un cop hàgiu localitzat el codi maliciós, heu de veure la seva posició, on es troba. Ara cal eliminar-lo manualment. Per fer-ho, heu de conèixer una mica la codificació de la vostra plataforma. Haureu de trobar els fitxers infectats i eliminar-ne manualment l'script anterior. Si no esteu segur d'això, demaneu a algun especialista que ho faci. Com que fem servir sukuri, els permetem fer-ho.

Després d'això, esborreu la memòria cau del servidor i del navegador. Si utilitzeu algun connector d'emmagatzematge a la memòria cau o diguem-ne MaxCDN, també esborra aquestes cachés.

Protegiu-vos dels scripts de mineria de criptomoneda

Criptomonedes i Tecnologia Blockchain s'apodera del món. Això té un impacte en l'economia global i les causes fracassos tecnològics També. Tothom va començar a centrar-se en un mercat tan lucratiu, inclosos els pirates informàtics de llocs web. A mesura que augmenten els beneficis, és d'esperar que aquestes tecnologies s'aprofitin. Aquest és el costat fosc de qualsevol tecnologia emergent.

El que podem fer és prendre sempre les millors precaucions possibles. A més d'utilitzar bé programari de seguretat, utilitzeu una extensió de Chrome o Firefox que impedeix que els llocs web utilitzin la CPU per a la mineria de criptomonedes - o millor encara utilitzar Anti-WebMiner s'aturarà Criptojacking Mining Script ataca canviant el vostre Amfitrions de fitxers . Funciona en tots els navegadors. Si sou un usuari de Mac, obteniu també un programari antivirus per al vostre ordinador.

Com a precaució, si mai creieu que heu visitat un lloc infectat, seria una bona idea esborrar la memòria cau del vostre navegador i escanejar l'ordinador amb programa antivirus així com AdwCleaner .

Estigueu segurs, estigueu alerta!