Сайтовете използват вашия браузър, за да копаят крипто. Може да е добро нещо

Името казва всичко: WannaMine. Panda, Билбао, базираната в Испания компания за киберсигурност, пише в началото на февруари, че „нов вариант на зловреден софтуер завладява компютри по целия свят, отвличайки ги, за да добият криптовалута, наречена Monero“.

Вирусът припомня WannaCry, червей, който помита земното кълбо през май 2017 г., криптира данните на заразените системи и изисква плащания за откуп от биткойн, за да го декриптира. Но WannaMine използва различен подход за извличане на криптовалута от жертвите си: използва процесорната мощ на техните машини, за да изпълнява алгоритъм, наречен CryptoNight, отново и отново, надявайки се да намери хеш, отговарящ на определени критерии, преди всеки друг миньори да го направи. Когато това се случи, се извлича нов блок, създаващ парче ново монеро - на стойност около 1500 долара към момента на писането - и депозиране на вятъра в портфейла на нападателя.

Шансовете всеки даден миньор да намери следващия блок първо и да получи наградата е малък, но зарази достатъчно процесори и можете да хакнете заедно приличен поток от приходи. Тъй като жертвата плаща сметките за ток и осигурява хардуера, разходите за нападателя са незначителни. (Вижте също: Как работи добивът на биткойн? )

„Доказателство за концепция“

На 11 февруари беше разкрита подобна, но доста по-зрелищна атака. Изследователите на киберсигурността Скот Хелм и Иън Торнтън-Тръмп (phat_hobbit) забелязаха, че сайтове от Националната здравна служба на Обединеното кралство до Съдилищата в САЩ отвличат браузърите на посетителите, за да изкопаят монеро.

Умм, така да, това е * лошо *. Току-що бях @phat_hobbit посочи, че @ICOnews има инсталиран криптоминър на сайта им ... pic.twitter.com/xQhspR7A2f
- Скот Хелме (@Scott_Helme) 11 февруари 2018 г.

Виновникът беше плъгин с текст в реч, популярен сред англофонните правителства, наречен Browsealoud, който беше заразен с Coinhive, монетен миньор за браузър, който не е непременно злонамерен софтуер сам по себе си: неговите доставчици го представят като легитимен начин за осигуряване на приходи от трафика но задайте на потребителите си твърде малко въпроси, според Motherboard.

Засега, така 2018. Но нещо е изключено. Нападателите не направиха нищо: около $ 24, които дори не бяха изплатени, каза Coinhive пред Motherboard. И както посочи Хелме, атаката можеше да бъде много по-лоша: "Нападателите са имали произволна инжекция на скриптове на хиляди сайтове, включително много уебсайтове на NHS тук, в Англия." Те можеха да откраднат лодки с изключително ценни лични данни. Но не го направиха.

Нещо повече, като се има предвид техният избран метод за атака, нападателите трябва да са избрали по-висока трафик, по-малко контролирани цели и по-ниска сигурност: порно сайтовете са популярни сред криптомини, защото отговарят на тези критерии.

Изглежда, че целта на похитителите не е била да печелят пари. Може би, както казва Мат Бърджс от Wired UK, като перифразира анализатора на Malwarebytes Крис Бойд, те „създават доказателство за концепцията“.

Крипто прекъсва рекламния модел?

Каква концепция може да бъде, Бойд не уточни. „Нека да видим какво лудо нещо може да се направи с тези скриптове“, той си представяше, че хакерите казват.

Но Лукас Нузи, старши анализатор в Digital Asset Research, има идея. „Миньорите, базирани на браузъри като Coinhive, са най-доброто въвеждане на полезна PoW [доказателство за работа] в съществуването“, туитира той. „За първи път в историята на интернет уебсайтовете имат начин да осигуряват приходи от съдържание, без да се налага да бомбардират потребителите с реклами.“

Потенциалът не е ограничен до модели, базирани на реклами:

2 \ Тези миньори могат да бъдат реализирани с по-малко от 20 реда код. Уикипедия не би трябвало да иска дарения, ако внедри миньор, базиран на браузър.
- Лукас Нузи (@LucasNuzzi) 15 февруари 2018 г.

Извличането на браузъри има потенциал да наруши текущите модели за осигуряване на приходи за доставчиците на уеб съдържание. Интернет рекламите - които са досадни, често носят злонамерен код и поддържат индустрия за посредничество на данни, която компрометира неприкосновеността на личния живот и сигурността на потребителите - могат да бъдат прехвърлени на поддържаща роля. Даренията - които, ако се съди по тенора на молбите на Уикипедия, не го намаляват - също биха могли да изчезнат. (Вижте също, Blockchain може да ви накара - не е еквифакс - собственик на вашите данни. )

За съжаление, продължава Nuzzi, хакерите побеждават реномирани сайтове до удара, който свързва рутинното браузър със злонамерен софтуер в общественото въображение и "смазва надеждата за приемане от реномирани уебсайтове като Wikipedia".

Салон поема потопа

Може би, но поне един уважаван, ако се бори, сайт е поел. Salon си партнира с Coinhive и на 11 февруари - денят на развръзката на Browaloud - той започна да пита посетителите, използващи рекламни блокери, дали искат да „блокират рекламите, като позволяват на Salon да използва неизползваната ви компютърна мощност“. Страницата с често задавани въпроси обяснява, че това означава извличане на монеро, въпреки че не споменава неговия сега скандален партньор по име. (Вижте също, Salon иска да използва компютъра си за майнинг на cyrptocurrency. )

За да преценя потребителското изживяване, включих няколко рекламни блокера, посетих Salon и се съгласих да „потискам рекламите“. Не се получи. Началната страница стана полупрозрачна и не може да се кликне, както понякога се случва, когато задължителен изскачащ прозорец е затъмнен от рекламен блокер (като adblocker е необходима предпоставка за включване в криптоминатора). След известни измислици - вида, който при нормални обстоятелства щеше да ме накара да търся другаде - извличах монеро в замяна на решаване на либерални коментари.

Не видях никакви реклами, но разбира се пусках рекламни блокери. Страницата непрекъснато презарежда определени елементи, което кара текста да прескача на всеки няколко секунди. Беше трудно да се чете. Малко подозрително, гишетата на моите рекламни блокери маркираха до 11 и 29, показвайки блокирани заявки при всяко презареждане.

Несъмнено рудодобивах. Преди да посетя страницата, мониторът на активността на моя Macbook не показва приложение, използващо повече от 10% от процесора. По време на моето посещение Chrome Helper варира от 50% до около - в един момент - 320%. Енергийното въздействие на Chrome също достигна тризнаци; средната за 12 часа е 46.

Е-мейл до PR фирмата на Salon, питащ за опита на търговския обект с добив на браузър, не получи незабавен отговор. Тази статия ще бъде актуализирана, за да отразява отговорите на Салон.

Може ли браузърът да работи?

Кратката ми среща с извличането на браузъра разкри вида на хълцането, които са характерни за бета версиите. Но консумацията на енергия е пречка, която незначителните подобрения няма да решат. Миньорите на биткойн се стичат до Квебек, защото токът е евтин. Похитителите копаят, използвайки браузърите на посетителите по същата причина. Въпреки че е трудно да се оцени паричното въздействие на минното дело от името на Salon, увеличението на потреблението на електроенергия беше очевидно. Ако значителен дял от уеб браузъра, добив на браузър, използването на интернет може да струва скъпо.

Същото важи и за хардуерното използване. WannaMine представи такъв проблем, тъй като, както Panda посочи, „начинът, по който се опитва да използва максимално процесора и RAM, поставя компютъра под голямо напрежение“. Освен ако сайтовете не ограничат изискванията, които отправят към компютрите на посетителите, процесите ще се забавят до обхождане и хардуерът ще се износва значително по-бързо.

Nuzzi не отстъпва от тези проблеми. "Ако базираното в браузър стане нещо, определено ще има злоупотреба, що се отнася до броя на минните нишки, които уебсайтът консумира", каза той по имейл. От друга страна, „като рекламите, ще има начини за блокиране на този скрипт, така че уебсайтовете трябва да установят какъв трябва да бъде справедливият баланс, в противен случай потребителите ще спрат да посещават уебсайта или да блокират миньора“.

Що се отнася до използването на електроенергия, хеш функцията на CryptoNight на monero има по-лек щрих от, да речем, на SHA-256 на биткойн. Извличането на Monero „не е голям проблем за потребителите на лаптопи“, казва Nuzzi, но „най-сигурно ограничава някои от случаите на използване на смартфоните“ с по-ограничения си капацитет на батерията.

Тогава съществува риск състезанието за оръжие на хеш-курс, което направи CPU и дори GPU извличането на биткойн и litecoin неизгодно, ще задържи натиска на браузъра за извличане. Причината Coinhive и WannaMine да използват monero е, че тя е една от единствените криптовалути, които могат да бъдат извлечени с печалба с помощта на процесор. Като се имат предвид правилните икономически стимули, не може ли monero да стане жертва на ASIC, специализиран хардуер, предназначен единствено да изпълнява хеш-функции възможно най-бързо?

Нузи не мисли така. Той нарича CryptoNight "блестящо проектиран", добавяйки, че той "позволява Monero да се добива с помощта на различни устройства, включително смартфони, тъй като по-голямата част от тях имат поне 2 GB RAM, докато само 2MB са необходими за стартиране на CryptoNight инстанция. към Scrypt (консенсусният алгоритъм на Litecoin), CryptoNight е много по-издръжлив на интеграцията на веригите, което позволява изграждането на ASIC. "

Разработчиците на Monero също обещаха да променят алгоритъма, ако бъде разработен ASIC. „Производители като Bitmain никога не биха разпределили бюджета за научноизследователска и развойна дейност за разработване на Monero ASIC предвид този риск“, казва Nuzzi. (Вижте също, Биткойн срещу Litecoin: Каква е разликата? )

Дълго просрочено

Ако криптоминирането измества рекламите като основен начин за осигуряване на приходи от онлайн съдържание, това би било изпълнението на едно от най-ранните обещания на криптовалутата.

Аргументът, че микроплащанията на биткойн за сайтове могат да прекъснат текущия модел, стана жертва на повишаващите се такси за транзакции, но бяха направени и други опити, като се използват други маркери, като основното внимание на браузъра на Brave за блокиране на реклами. Но докато финансирането на портфейл и компенсирането на сайтове, чиито реклами блокирате, остава по избор - както е в Brave - моделът изглежда малко вероятно да осигури на сайтовете приходите, от които се нуждаят. (Смел, трябва да се каже, предвижда място за рекламодатели в своята платформа.)

Няма гаранция, че добивът на браузър ще се хване или че ефектът върху оборудването на потребителите и сметките за електроенергия няма да бъде нарушаващ сделката. Има вероятност обаче досадни, натрапчиви, понякога вредни реклами - или програмите, които използвате за блокирането им - да излязат.

Инвестирането в криптовалути и други първоначални предложения за монети ("ICOs") е много рисковано и спекулативно и тази статия не е препоръка от Инвестопедия или писателя да инвестира в криптовалути или други ICO. Тъй като ситуацията на всеки индивид е уникална, винаги трябва да се консултирате с квалифициран специалист, преди да вземете финансови решения. Инвестопедия не дава никакви гаранции или точност на информацията, съдържаща се тук. Към датата, на която е написана тази статия, авторът няма позиция във всяка криптовалута.