三萬網站含挖礦代碼:當你上網的時候,可能就幫黑客挖礦了

區塊鏈探長2018-07-12 06:00:57

點擊上方藍色字體“區塊鏈探長”關注公眾號

想了解區塊鏈,只關注這個就夠了


 區塊鏈探長(ID:qqtanzhang)

文 | 區塊律動0x2

來源 |  區塊律動BlockBeats



一家網站的主要收入來源是廣告,如果沒有人點擊廣告,就等於沒有收入。尤其是一些內容流量網站,就靠著廣告活著。


但是廣告能給網站帶來的收入畢竟有限,窮則思變,他們開始盯上了虛擬貨幣。全球排名前 1 萬的網站中,有 2.2% 的網站正在做這種損人利己的勾當。


據統計,截止 7 月 9 日,全網有超過 3 萬家網站內置了挖礦代碼只要用戶打開網站進行瀏覽、操作,網站就會調用電腦或手機的計算資源來進行挖礦。根據 Adguard 的數據統計,全球約有 5 億臺電腦曾被綁架挖礦。


流量小一點的網站,每天可以獲得幾美元的額外收入,多的可以達到數千美元。而代價就是犧牲網站用戶的電腦性能和能源,換取門羅幣。


瀏覽即挖礦,如果你在上網的時候覺得自己的電腦和手機莫名其妙地發燙,那麼你就要考慮是不是已經被網站利用來挖礦了。

瀏覽即挖礦,黑客總能找到各種奇怪的資源來牟利


幾乎所有的瀏覽挖礦代碼挖的都是門羅幣。


門羅幣採用的是 Cryptonight 的挖礦算法,這種算法對於 CPU 很友好,非常適合在普通電腦上運行。於是乎,就有開發者打起了歪主意。



他們利用 javascript 編寫代碼,當用戶載入某個網站的時候,也會載入挖礦代碼。據最大的門羅幣挖礦代碼提供商 Coinhive 的數據顯示,他們的代碼運行效率約等於門羅幣礦機的 65%,未來還有一定的提升空間。


雖然在訪問網站的時間內,用戶只能貢獻一點點的算力,但是積少成多,訪問量越大越賺錢。


多家挖礦代碼提供商都有計算器供開發者預測收入,如果你的網站每天都有 10-20 用戶訪問的話,每天可以收入 0.3 個 XMR,約 270 塊人民幣,每個月可以得到 8100 元的收入。


白來的收入,何樂而不為呢?於是乎不少本來廣告收入就不多、又沒有其他盈利模式的網站開始在網站上運行挖礦代碼。



著名的 BT 資源下載網站海盜灣,近日被爆出網站內置了門羅幣的挖礦代碼。在海盜灣的網站上非常霸道地寫著,「只要進入海盜灣網站,你就同意我們使用你的 CPU 進行門羅幣挖礦。如果你不同意,你可以立刻離開或者安裝 adblocker」。


這段話,只能在海盜灣網站最底端的位置才能看到,而且還被特意調成了小字號。


也就是說,哪怕你只是打開海盜灣看看有沒有更新什麼資源,你的電腦 cpu 佔用也會瞬間飆到 100%,為海盜灣網站創收提供算力,直到你關掉網站。


據瞭解,被植入挖礦代碼的網站中,有 68% 的網站為色情網站。如果你有瀏覽色情網站的習慣,那你也應該注意一下,因為不少色情網站為了增加收入也會加入挖礦代碼。


當你的雙手在飛舞顫抖的時候,是否發現自己的電腦已經變得滾燙,或許你根本就沒有發現,因為你正在沉迷於別的事情。



除了網站所有者自行添加挖礦代碼之外,還有黑客黑入其他網站服務器在代碼中惡意植入挖礦木馬的。比如上個月高考結束之後,不少高校的網站都被爆出被黑客入侵,考生在查詢考試成績的時候就要為黑客做貢獻。


因為查分網站都有分數公開的時間,大量考生都會開著網頁等待放榜,所以這類網站比其他博客之類的網站更受歡迎。上個月底,騰訊御見威脅情報中心檢測到山東、湖北、河南、黑龍江等多所重點大學的官網被植入挖礦木馬。


此外,還有不少遊戲外掛的開發者也會在外掛中植入挖礦木馬,讓很多貪小便宜、貪圖享受的用戶中招。


除了電腦端,在 Android 手機端也出現了大量包含挖礦木馬的 App。360 安全實驗室今年 1 月份的數據顯示,全網有 400 多種挖礦木馬在流行,佔 Android 木馬總量的 1/3。


網頁挖礦劫持服務商,完善的黑產體系


有需求,就有服務,挖礦代碼和挖礦木馬背後其實有一整個完整的產業鏈,而且服務非常完善。


打開網頁就進行挖礦,其實這個功能不是網站開發者自己開發的,他們使用的都是網頁挖礦服務商提供的接口。開發者只需要在網頁代碼中插入那麼一串代碼,就可以坐享收入。



網頁挖礦服務商給網站開發者提供了各式各樣的挖礦服務,比如驗證碼挖礦、短鏈接接入、靜默挖礦等,只要你敢來,瞬間可以佔用你 100% 的電腦資源。


任何產品都有迭代的空間,於是乎,CoinHive 這樣的網頁挖礦服務提供商也在不斷地進化他們的產品,讓網站開發者可以更好地隱藏利用用戶電腦挖礦的事實,為用戶提供更好的服務。



例如,許多網站為了防止垃圾評論,都會採取點擊驗證碼的方式攔截機器人。CoinHive 就提供了類似的反作弊模塊,當用戶在點擊這個按鈕的時候就會開啟網頁挖礦,在驗證完成之後,挖礦停止。


如果用戶真的有意願等待發帖或者登陸,是完全能夠接受這十幾秒的驗證時間的,但代價就是十幾秒內電腦 CPU 火力全開去挖礦,瞬間升溫幾十度。


CryptoLoot 還提供靜默挖礦功能,可以在用戶完全沒有察覺的情況下就運行挖礦代碼。在 CryptoLoot 的網站上,他們把靜默挖礦標榜為自己的一個特色功能,可實現安靜不打擾。呵,還真是貼心呢。



挖到礦後就可以開始算錢了,挖礦代碼提供商幾乎可以為開發者進行即時結算。他們每 2 個小時就可以進行一次分賬,在完成抽成之後,可以直接向開發者的錢包裡轉賬門羅幣,當然也能以人民幣、美元等法幣進行提現。


提供商實現了從頭到尾的全方面服務,只為網站開發者和黑客提供更好的服務和更高的收入。


但是要知道,這樣的行為是違法的。


無論是在國內還是國外,未經用戶允許便擅自佔用用戶的計算資源,可以被定義為是木馬病毒。按照先關法律法規,這是違法行為,構成犯罪的還將追究刑事責任。


知名網站都不會用這種卑鄙的手段來獲取利益,只有我們上面提到的幾種類型的、本身就已經違法的網站才會做這種事情。


無論是挖礦代碼提供商還是網站開發者,都明白偷用戶電腦資源來挖礦是一件不光彩的事情,所以代碼提供商會毫不留情地從挖礦所得中抽走 30%,對於這種大額抽成,網站所有者也欣然接受。


據 PC Magazine 網站預測,CoinHive 一年的抽成收入就可以達到 500 萬美元,他們所服務的網站和黑客一年可以產生高達 1 億人民幣。


CoinHive 目前服務 75% 的網頁挖礦網站,再加上其他服務商覆蓋的網站,整個行業每年盜用用戶電腦挖礦的收入可以達到 1.5 億人民幣。

擔心電腦被用去挖礦,怎麼辦?



首先要感謝國家,因為你生在中國,有騰訊電腦管家和 360 安全衛士這種東西「保護」你,但是代價是要接受他們的全家桶服務。


接下來要感謝有良心的開發者,他們正在幫助你。


如果你正在使用的是 Chrome 瀏覽器,或者基於 chrome 內核的瀏覽器,都可以安裝 Adblock、Adblocker、ADP 等廣告攔截插件來實現惡意代碼攔截。比如 AdBlocker 在去年網頁挖礦最氾濫的那段時間就更新了算法,在插件中加入了挖礦代碼攔截,用戶可以免費使用這些攔截插件。


如果你使用的是火狐瀏覽器,那麼可以安裝 noscript 插件來限制 Javascript 的運行,將挖礦代碼擋在門外。


最後要感謝自己,感謝潔身自好的自己不去瀏覽一些奇奇怪怪的、令人興奮的、助你上天入地的網站。

往期精彩文章

■李笑來錄音門,這五個彩蛋其他媒體絕對不會告訴你
黑客再“玩”幣安:SYS幣被拉昇320萬倍,黑客獲利8000萬

杜均的中指,古典VC的凱歌

■從 1.0 到 3.0,區塊鏈和互聯網的發展有多相似?

對不起,我是一名區塊鏈創業者

K網上驚現神祕USDT掛單,投資者:這不是人類下的單

■升級版幣圈騙局:幕後黑手俞凌雄仍不撒手!

區塊鏈探長(ID:qqtanzhang)是騰訊科技旗下關注區塊鏈的專業報道平臺,我們致力於用生動活潑的文字,提供最專業的區塊鏈報道。


歡迎大家踴躍投稿,有區塊鏈項目及相關消息也可以與我們聯繫。

郵箱:[email protected]

閱讀原文

TAGS:挖礦挖礦代碼網站網站開發者