Компанией Trend Micro зафиксирована целенаправленная кампания по размещению баннеров с кодом для майнинга криптовалюты в сети DoubleClick с акцентированием размещения на сайте YouTube.
Возможность использования JavaScript-кода в баннерах современных рекламных сетей открывает обширные возможности для злоумышленников, которые легко обходят многоуровневые автоматизированные проверки добавляемых баннеров. Помимо использования баннеров для распространения вредоносного кода и автоматического перенаправления пользователей на рекламируемые сайты, последнее время набирает популярность использования рекламных сетей для майнинга криптовалют.
24 января сотрудники Trend Micro зафиксировали лавинообразное увеличение числа сайтов на которых применяется JavaScript-майнер Coinhive. Разбор ситуации показал, что источником кода является рекламная сеть Google DoubleClick, в которой c 18 января наблюдается вредоносная активность, главным образом сосредоточенная на сайте YouTube. Для пользователя подобные баннеры c кодом майнинга проявляются в существенном повышении нагрузки на CPU во время просмотра страницы.
Несмотря на то, что по заверению Google вредоносные баннеры были заблокированы в течение нескольких часов, злоумышленники продолжают обходить систему проверки кода баннеров и вредоносный код вновь и вновь продолжает появляться на YouTube. YouTube выбран как целевая платформа для размещения баннеров с кодом для майнинга криптовалют, так как скрипт может работать длительное время при просмотре видео.
В выявленном вредоносном баннере применяется два варианта JavaScript-кода для майнинга криптовалюты Monero, которые спустя некоторое время после начала показа баннера загружаются с определённой долей вероятности. Скрипты рассчитаны на то, чтобы не занимать более 80% ресурсов CPU (уровень throttle выставлен в 0.2). Первый скрипт coinhive.min.js загружается с вероятностью 90%, а в остальных 10% случаях используется mqoj_1.js (вероятность варьируется в разных баннерах, например, встречаются экземпляры с соотношением 97% и 3%).
Скрипты основаны на коде сервиса Coinhive, предлагающего майнинг как новый способ монетизации для владельцев сайтов. Первый скрипт является оригинальным кодом от сервиса Coinhive. Второй скрипт отличается тем, что он модифицирован для использования собственного пула для майнинга, развёрнутого на сервере в облаке AWS, чтобы не платить 30% комиссию сервису Coinhive.
