加密货币挖矿攻击席卷市场，门罗币矿工恶意软件 targeting 3,500+ 网站

加密货币挖矿攻击卷土重来，影响了3,500多个网站，并静默劫持用户浏览器以挖掘门罗币（Monero），这是一种注重隐私的加密货币。该活动由网络安全公司 c/side 于周二发现，距离已倒闭的服务 Coinhive 自2017年以来普及该战术后关闭已近七年。

根据 c/side 研究人员的数据，恶意软件隐藏在混淆的 JavaScript 代码中，当用户访问受感染网站时静默部署矿工。一旦访客落在被篡改的页面上，脚本会 quietly 评估设备的计算能力。然后，它在后台启动并行 Web Workers 执行挖矿操作，而无需用户同意。

通过限制处理器使用率并通过 WebSocket 流路由通信，矿工避免了检测，隐藏在正常的浏览器流量背后。“目标是像数字吸血鬼一样持久地逐渐窃取资源，”c/side 分析师解释道。

加密货币挖矿代码如何运作

c/side 发现 通过从 https://www.yobox[.]store/karma/karma.js?karma=bs?nosaj=faster.mo 加载的第三方 JavaScript 文件，在网站上插入了一段代码。它最初执行时并不直接挖掘 门罗币，而是首先检查用户的浏览器是否支持 WebAssembly，这是一种用于运行高处理需求应用程序的标准。

代码随后评估设备是否适合挖矿，并启动名为“worcy”的后台 Web Workers， discreetly 处理挖矿任务，而不打扰主浏览器线程。命令和挖矿强度级别通过 WebSocket 连接从命令与控制（C2）服务器插入。 

该 JavaScript 矿工的托管域名此前曾与臭名昭著的窃取支付卡详情的 Magecart 活动有关联。这可能意味着当前活动背后的团体有网络犯罪历史。 

威胁通过网站漏洞传播

在最近几周，网络安全侦探发现了针对运行 WordPress 的网站的几种客户端攻击。研究人员发现了将恶意 JavaScript 或 PHP 代码嵌入 WP 网站的感染方法。

攻击者开始滥用 Google 的 OAuth 系统，通过在诸如“accounts.google.com/o/oauth2/revoke”之类的 URL 关联的回调参数中嵌入 JavaScript。重定向将浏览器引导至一个隐蔽的 JavaScript 负载，该负载建立与不良行为者服务器的 WebSocket 连接。

另一种方法通过 Google Tag Manager (GTM) 注入 脚本，然后直接嵌入到 WordPress 数据库表（如 wp_options 和 wp_posts）中。该脚本会将用户静默重定向到200多个垃圾域名。

其他方法包括更改 WordPress 的 wp-settings.php 文件，以从远程服务器上的 ZIP 存档中获取负载。一旦激活，这些脚本会感染网站的 SEO 排名，并添加内容以提高诈骗网站的可见性。

在一个案例中，代码被注入主题的页脚 PHP 脚本，导致浏览器将用户重定向到恶意网站。另一个案例涉及一个以受感染域名为名的虚假 WordPress 插件，它检测搜索引擎爬虫何时访问页面。然后它会发送垃圾内容以操纵搜索引擎排名，同时对人类访客隐藏。

C/side 提到，Gravity Forms 插件版本 2.9.11.1 和 2.9.12 被篡改，并通过官方插件网站在供应链攻击中分发。篡改后的版本会联系外部服务器以获取额外负载，并尝试在 WordPress 网站上创建管理员账户。

2024年秋季，美国国际开发署（USAID）成为加密货币挖矿攻击的受害者，当时微软 警告该机构在测试环境中存在被入侵的管理员账户。攻击者使用密码喷洒攻击访问系统，然后通过 USAID 的 Azure 云基础设施创建第二个账户用于加密货币挖矿操作。