“洛杉矶时报”也躺枪：网站托管恶意脚本利用访客 CPU 秘密挖掘门罗币

据外媒报道，Bad Packets 报告公司的安全研究员 Troy Mursch 于近日发现，美国第三大报纸 “ 洛杉矶时报 ” 的网页上托管了加密挖掘软件，旨在利用访客的 CPU 挖掘门罗币。

根据 Troy Mursch 的说法，攻击者利用一个不恰当配置的 Amazon Web Services (AWS) S3 云存储桶来访问该网站，并将 Coinhive 软件脚本注入到程序中 。不过奇怪的是，受影响的网页是一个有关凶杀报告的页面，报道了过去 12 个月中在洛杉矶遇害的人。

根据一些数据统计，Coinhive 可能会影响全球四分之一的组织。当用户访问网页时， Coinhive 会对门罗币进行在线挖掘。嵌入的 JavaScript 使用终端用户机器的计算资源来挖掘硬币，从而影响系统性能。虽然 Coinhive 是一个合法的服务，为网站管理员寻找一种可替代广告的盈利模式，但是犯罪分子通常会在网站未知的情况下将 Coinhive 嵌入其中，而某些不道德的网站则会在访客不知情的情况下秘密使用 Coinhive。

在这种模式下，脚本一般被设置为以非最高级别开采，从而消耗较少的计算能力，并可能做到长达两周不被发现 。

AttackIQ 首席营收官 Carl Wright 认为，目前云配置错误事件频出，许多企业的攻击面也大大扩展 ，再加上没有统一的安全控制和流程保证，因此企业更需要攻击者不断测试其安全控制措施是否存在配置错误。如果企业在这个阶段没有持续验证他们的安全控制，那么很可能将会造成惨痛的失败。

消息来源：infosecurity，编译：榆榆，校审：FOX;

本文由 HackerNews.cc 编译整理，封面来源于网络；

转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。