数千知名国内网站被挂挖矿,原来竟是广告联盟监守自盗

2018-02-08 341072人围观 ,发现 21 个不明物体 WEB安全

日前,360云安全系统监测到,国内某DSP广告平台被嵌入了挖矿脚本,该脚本随广告平台投放的广告一起插入到了网页中,进而传播。当该嵌入了挖矿脚本的广告代码被加载起来,无论用户是否点击查看广告,均会自动触发挖矿代码的执行。该挖矿页面单日访问量逾百万次,多家知名站点受到影响,中招机器CPU资源会被大量占用,直接影响系统正常运行。 

如今,Web挖矿攻击已不满足于单个网站挖矿,而是将目标对准流量更大、渠道更广的大型平台系统,如CRM系统、广告平台系统等;我们分析发现该广告平台,通过deepMiner自建了矿池,而不只是使用常见的coinhive,这样可以省去矿池的佣金,但是必须要保证有足够的算力才会有收益,由此也可见平台的覆盖范围比一般的挖矿攻击要大很多。下面就以该广告平台中植入挖矿脚本过程进行简要分析:

广告位插入挖矿JS过程简图:

1.png 
图1 

该恶意挖矿JS代码存放在某公司”的广告分发平台上,页面地址:

http://rtb.my**b.net/getad?wp=AQu0kEUAAFp27CRhXgAJqaP7qk1bzNTKuA%3D%3D&info=CJ3pyAEQ9PoNGAMiDFI5UFdvM2x6cmd3PSoCdF8yCTgxOTEyNDY5MTj8tPPKoJYfQh90X21tXzE3Nzc3OTYwXzE1OTcwODI1XzYxMTMwNDUxSABSIDBiYjQ5MDQ1MDAwMDVhNzZlYzI0NjE1ZTAwMDlhOWEzWgoxNTE3NzQzMTQwsQHIJ2TnbTlcQLkBUmUYd4PcO0DYAQLgAYCjBegB%2FvAM8AEVggIWaHR0cDovL3d3dy5haXF1eHMuY29tL4oCCldpbmRvd3MgMTCSAgZDaHJvbWWiAgRfVFgxqAIAsAKcmbcBuAIAwALgyJmpBsoChgFiaF8wLGJoX2dkXzEwMDAyLGJoX2FnXzEwMDAzLGJoXzEwMDgwMDAwNixiaF8xMDA5MDAwMDIsYmhfMTAxMTAwMDAyLGJoXzEwMTMwMDAwMSxiaF8xMDE0MDAwMDQsYmhfMTAxOTAwMDI0LGJoXzEwMjExMDAwMSxiaF8xMDIxNDAwMDEsLNECAAAAAAAAAADYAgDgAgDoAgHwAgD4AgGCAwE5mAMA&exclickurl=http%3a%2f%2fclick.tanx.com%2fct%3ftanx_k%3d173%26tanx_e%3dvxyFNSUjo7l8NJ2eaOB%252bs%252bLBwnRx3hmLyd6Sd243yrvX3SzmgpedJAml3bcLCtIFtH5mQBEuzUMJS%252f3QArX7UqX3H9h77tFFby81UFbLgLN%252bMu%252ft07S9%252f%252bGGAjzc8QAI9TvCLp3eIHgcNa8C%252bfiap0%252bS8ED3CRXV5fcaiUOyg3w%253d%26tanx_u%3d

从广告位代码中看到其通过iframe嵌入了一个页面:http://kw.cn*****g.com/kww.html#0.5如下图所示 :

2.png

图2

3.png 
图3

该页面又嵌入了deepMiner.min.js该JS及其挖矿所用到的关键js脚本均使用了AES+Base64加密,加密所使用的密钥为:’NBR2513UXFME9B4MWUTTIUKCELEIBRC4’对其进行解密后可看到是使用了中间件deepMiner构造自建的门罗币Web挖矿矿池;挖矿所用到的矿池地址:wss://kw.c******g.com/api

部分解密后片断如下:

Clipboard Image.png 
图4

Clipboard Image.png 
图5

就在对其进行测试分析的时候发现其最新的广告位中已经更换了iframe的链接地址,其中直接嵌入了coinhive挖矿脚本:

挖矿的Site_Key为:76kBm8jdLIfdkW6rWAbAs58122fovBys

CPU占用阈值throttle为:50%

Clipboard Image.png 
图6

目前已发现受影的有几千个站点

部分受影响站点如下:

www.263zw.com Bbs.gfan.com
www.80dyy.cc Bbs.duowan.com
www.chinadmd.com www.52pk.com
Mini.eastday.com www.4399.com
Shop.9you.com www.biquge5.com
www.biquge.tv www.qnvod.net
www.shu008.com www.xiwuji.com
www.hanfan.cc www.dyxia.com
www.meijutt.com www.ddshu.net
www.365if.com www.cnrexue.com
www.haoqu.net www.mh160.com
……

从iframe进去的两个域名注册信息看一个是2018年2月2号注册并且加了隐私保护,注册后域名请求量即出现指数级的增长,另一个是2012年注册。

Clipboard Image.png

图7

Clipboard Image.png

图8

整体传播趋势图:

Clipboard Image.png图9

结语:

对于广大用户来说,使用专业的安全软件进行实时防护检测尤为重要。目前360安全卫士及360浏览器已国内首家推出反挖矿保护功能全面支持拦截此类挖矿脚本,用户只需开启360防护即可。

Clipboard Image.png

图10

Clipboard Image.png 
图11

 *本文作者:360安全卫士,转载请注明来自FreeBuf.COM

这些评论亮了

  • @ anonymous
    1. 解开https的是你的浏览器而不是360
    2. 没被浏览器解开的https,360也解不开。而已经被浏览器解开的https页面内容,对于电脑里任何一个程序来说都是明文的
    3. 这告诉我们一个道理,智商与喷子不可兼得也~
    )50( 亮了
  • anonymous 回复
    访问的https页面360也能检测出挖矿脚本, 所以说页面的内容对于360来说都是明文了, 这告诉我们一个道理, 隐私和360不可兼得也~
    )22( 亮了
  • 麻花疼 回复
    @ 周红衣 不看,晕针
    )18( 亮了
  • cujam (1级) 回复
    又想骗我们用360浏览器 :mrgreen: :mrgreen: :mrgreen:
    )6( 亮了
发表评论

已有 21 条评论

取消
Loading...
css.php