個案分析 - Coinhive 網頁掛碼挖礦事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 107 年 1 月

Size: px

Start display at page:

Download "個案分析 - Coinhive 網頁掛碼挖礦事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 107 年 1 月"

妈仇
5 years ago
Views:

1 個案分析 - Coinhive 網頁掛碼挖礦事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 107 年 1 月

I. 事件簡介 1. 2017 年 9 月 Coinhive 等網頁挖礦程式被濫用, 綁架用戶電腦挖礦的非法行為日發嚴重, 不只個人電腦, 連智慧型手機也將受到威脅 2. Coinhive 是一個可在瀏覽器環境下, 用 JavaScript 執行門羅幣 (Monero) 挖礦計算的程式 3.

2 I. 事件簡介年 9 月 Coinhive 等網頁挖礦程式被濫用, 綁架用戶電腦挖礦的非法行為日發嚴重, 不只個人電腦, 連智慧型手機也將受到威脅 2. Coinhive 是一個可在瀏覽器環境下, 用 JavaScript 執行門羅幣 (Monero) 挖礦計算的程式 3. Coinhive 也是一種新型態的網站經營商業模式, 以網頁瀏覽者的電腦 CPU 進行挖礦, 採用該類挖礦服務的網站會明確告知使用者本站使用挖礦服務, 但有些網站則可能在未知狀態下被駭客入侵掛碼, 並進行挖礦 4. 本次事件為在 2017 年 11 月學術網路內發現某學校執行教育部某計畫之網站被植入 Coinhive 的 JavaScript 程式碼, 淪為一個挖礦網站之資安事件, 為了解在使用者瀏覽網站時所產生的主機挖礦行為, 本中心進行實際檢測 1

9.1 與 jquery 1.12.4, 容易讓駭客利用這些軟體的版本漏洞進行網站入侵 2.

3 II. 事件檢測 1. 首先, 使用瀏覽器開啟受測網站之首頁, 發現建置該網站所使用的軟體版本未隱藏, 如 WordPress 與 jquery , 容易讓駭客利用這些軟體的版本漏洞進行網站入侵 2. 使用 Nmap 工具掃描受測網站 IP(140.X.X.150), 發現該網站主機開啟 14 個 port, 容易造成駭客透過這些 port 進行系統入侵, 建議網站管理員檢視這些 port 之存在必要性 2

4 3. 檢視受測網站首頁的原始碼發現到有網頁掛碼之現象, 被植入 Coinhive 挖礦程式的 JavaScript 語法, 可見該網站曾被駭客入侵 4. 瀏覽該網站其他頁面發現一樣有被植入 Coinhive 挖礦程式的 JavaScript 語法, 可以得知不論使用者瀏覽至該網站哪一頁面, 挖礦程式都會被下載並進行挖礦 3

5 5. 將受測網站的網址送至 Virustotal 網站檢測, 發現檢測率為 0/66, 判定為 Clean site, 由此可知此類網頁掛碼的挖礦情形無法被各家防毒軟體公司檢測出來 6. 觀察瀏覽受測網站時主機之 CPU 實際運作情形, 發現 CPU 的使用率有衝高至 100% 之現象, 但當網頁關閉後瞬間恢復正常 7. 解讀受測網站被植入的 Coinhive 挖礦程式之 JavaScript 語法, 分析如下 : 4

threads:2 是指礦工應該從頭開始的線程數, 即主機內可用的 CPU 核心數量 C. miner.start(); 指連線礦池並開始挖礦 D.

6 (1) 至 coin-hive.com 網站下載無通知的 Coinhive 挖礦程式 (2) 使用 JavaScript 來啟動 Coinhive 挖礦程式 A. np0gtkzs4a2auhhbktnjztayza7op7qd 是在駭客完成註冊 Coinhive 帳號後所取得的 Site Key(public) B. threads:2 是指礦工應該從頭開始的線程數, 即主機內可用的 CPU 核心數量 C. miner.start(); 指連線礦池並開始挖礦 D. setinterval (function(){ var acceptedhashes=miner.getacceptedhashes(); 為每秒更新一次即時的挖礦統計資訊, 包含目前即時的每秒計算的 hash 5

7 數目 ( 挖礦速度 ) 累計 hash 數目以及獲得的門羅幣總金額 E. document.getelementbyid( 11 ).textcontent =acceptedhashes 為輸出統計資訊, 駭客可以登入 Coinhive 網站後在 Dashboard 頁面中看到即時的挖礦統計資訊 8. 檢視瀏覽器連線狀態, 發現該瀏覽器除了連線至受測網站 (IP:140.x.x.150) 外, 也會連線至 IP: , 經查此為 coin-hive.com 的網站 IP 9. 將網址送至 Virustotal 網站檢測, 發現偵測率僅 4/66, 只有四家防毒軟體公司能檢測出此網址為 Malicious site 6

8 10. 將受測網站首頁完整地另存新檔後, 發現資料夾中有一個 coinhive.min.js. 下載的檔案, 將檔案送至 Virustotal 檢測發現其為惡意之比例有 30/58, 其中有許多防毒軟體公司判定它為挖礦程式 (Miner) 7

9 III. 網路架構圖 8

1. 駭客入侵 Web Server 並進行 Coinhive 挖礦程式之網頁掛碼 2. 受害者透過瀏覽器瀏覽已被掛碼的網頁 3. 在未通知受害者狀態下, 下載 Coinhive 挖礦程式至受害主機 4. 受害主機在受害者瀏覽網頁期間默默執行 Coinhive 挖礦程式, 導致受害主機 CPU 效能瞬間衝高至 100% IV. 建議與總結 1.

10 1. 駭客入侵 Web Server 並進行 Coinhive 挖礦程式之網頁掛碼 2. 受害者透過瀏覽器瀏覽已被掛碼的網頁 3. 在未通知受害者狀態下, 下載 Coinhive 挖礦程式至受害主機 4. 受害主機在受害者瀏覽網頁期間默默執行 Coinhive 挖礦程式, 導致受害主機 CPU 效能瞬間衝高至 100% IV. 建議與總結 1. 由於網頁挖礦程式應用普遍, 很多網站都會想利用這種新的商業模式來賺錢, 一般使用者如果想要辨別一個網站是否在背後偷偷挖礦, 可從挖礦網站的常見特徵進行判斷, 特徵詳列如下 (1) 使用者瀏覽器的 CPU 使用率在瀏覽網站的時候特別高, 有達 100% 的情況, 而且持續非常久 (2) 網站之網頁原始碼內出現 Coinhive 挖礦程式的 JavaScript 語法, 但如果將 JavaScript 經過最小化編譯之後, 又把檔案名稱改掉的話, 就無法輕易看出來, 只能從瀏覽器的對外連線來查詢 2. 相對傳統網站透過廣告投放方式獲利, 挖礦或許能取得更高的利潤, 但使用者若想阻止這種竊取運算資源的舉動, 可透過像 Adblock Plus 的阻擋廣告軟體, 加入過濾條件, 過濾掉挖礦程式, 或者在瀏覽器中加入阻擋挖礦程式外掛, 如採用 No Coin 這款套件, 避免電腦受到影響 Adblock Plus 的設定方式 (1) 將 Adblock Plus 以擴充功能方式新增至 Chrome 瀏覽器中 9

11 (2) 在 Adblock Plus 選項中新增過濾條件 coin-hive.com/lib/coinhive.min.js (3) 開啟已被網頁掛碼的網站, 查看是否有成功阻擋, 可以看到有被過濾的統計數據, 而 CPU 使用率在挖礦程式被過濾掉後瞬間下降 10

No Coin 的設定方式 (1) 在瀏覽器 Chrome 中可加入 No Coin 此擴充功能程式, 安裝完成後保

會出現驚嘆號警告, 點開來會告訴使用者 A coin miner has been detected on this

本次資安事件為駭客入侵網站伺服器進行網頁掛碼造成, 又該網站主機開啟許多 port, 這些 port

12 No Coin 的設定方式 (1) 在瀏覽器 Chrome 中可加入 No Coin 此擴充功能程式, 安裝完成後保護功能就會立即生效 (2) 當使用者打開的網頁帶有 Coinhive 挖礦程式時, 瀏覽器右上角的圖標會出現驚嘆號警告, 點開來會告訴使用者 A coin miner has been detected on this page 在這個頁面上發現挖礦程式, 同時該挖礦程式已被阻擋 3. 本次資安事件為駭客入侵網站伺服器進行網頁掛碼造成, 又該網站主機開啟許多 port, 這些 port 容易變成駭客入侵的管道, 建議網站管理員檢視網站整體的資訊安全防護與確認已開啟的 port 之用途, 並且加強密碼強度來控管網站系統管理的登入作業 4. 受感染網站移除 Coinhive 挖礦程式的方式 11

災情持續擴大, 全球每天新增 300 個挖礦網站黑色產業覬覦瀏覽器挖礦,5 億訪客不知電腦變礦工 https://www.ithome.com.

13 (1) 需有受感染網站的網站管理員權限 (2) 查找含有 Coinhive 來源程式碼所在位置, 類似下面 JavaScript 語法 (3) 確定 Coinhive 的惡意程式碼所在位置後, 手動刪除此惡意程式碼 V. 相關報導 1. 災情持續擴大, 全球每天新增 300 個挖礦網站黑色產業覬覦瀏覽器挖礦,5 億訪客不知電腦變礦工 2. 星巴克店內 Wi-Fi 遭加料! 合作廠商暗藏挖礦程式, 偷用顧客筆電 CPU 來賺錢 12

14 3. 下載超過 10 萬次的 Chrome 擴充程式 Archive Poster 遭植入採礦程式 13

NSA 攻擊工具事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2019 年 6 月

NSA 攻擊工具事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2019 年 6 月 NSA 攻擊工具事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2019 年 6 月一事件簡介 1. 在 2019/3 月底本中心發現在學術網路內從 2019/3 起陸續有來自 http:// 47[.]106[.]217[.]147/svchosa.exe 與 http://m9f[.]oss-cn-beijing[.]aliyuncs[.]com /svchosa.exe

個案分析 - Coinhive 網頁掛碼挖礦 事件分析報告 臺灣學術網路危機處理中心團隊 (TACERT) 製 107 年 1 月

個案分析 - Coinhive 網頁掛碼挖礦事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 107 年 1 月