Криптоджекинг — относительно новая форма обмана пользователей интернета, которая быстро получает распространение. Злоумышленники внедряют на сайты и в рекламные объявления фрагмент кода JavaScript, который использует процессоры пользователей для майнинга криптовалют. На днях криптоджекинг добрался до рекламных объявлений Google на YouTube.
Как сообщает сайт Ars Technica, пользователи социальных сетей на прошлой неделе начали жаловаться на то, что рекламу на YouTube антивирусы идентифицируют как зловредную. В частности, антивирус распознаёт скрипт уже известного веб-майнера CoinHive, который по первоначальной задумке своих создателей должен был работать в благих целях, позволяя сайтам получать дополнительный доход, используя вычислительную мощность процессоров посетителей для майнинга криптовалюты Monero. Его использование считалось бы добросовестным, если бы сайт уведомлял о майнинге и адекватно задействовал ресурсы своих пользователей. Однако в случае рекламных объявлений YouTube, на которых запускался скрипт, использовалось до 80% мощности процессора и никаких уведомлений о майнинге не было.
Из сообщения Ars Technica следует:
В пятницу, 26 января, сотрудники компании Trend Micro, разработчика ПО для кибербезопасности, заявили, что реклама увеличила активность веб-майнеров более чем в три раза. Они сообщили, что злоумышленники, стоящие за рекламой, используют платформу Google DoubleClick, чтобы показывать ролики посетителям YouTube в отдельных странах, таких как Япония, Франция, Тайвань, Италия и Испания.
В девяти из десяти случаев использовался общедоступный JavaScript, предоставляемый CoinHive — криптовалютным сервисом, который позволяет абонентам получать прибыль за счёт скрытого использования компьютеров других людей.
Исследование Trend Micro показало, что в 10% случаев использовался скрипт, который майнил Monero, но не начислял сервису CoinHive его обычную комиссию в размере 30%.
Gizmodo обратился к YouTube за комментариями, и пресс-секретарь подтвердил существование проблемы:
Майнинг криптовалют через рекламу — относительно новая форма злоупотребления, нарушающая нашу политику, соблюдение которой мы активно контролируем. Мы принимаем меры посредством многоуровневой системы обнаружения на наших платформах, которую мы обновляем по мере возникновения новых угроз. В этом случае реклама была заблокирована менее чем за два часа, и создатели вредоносного ПО были быстро удалены с наших платформ.
Фрагмент комментария о блокировке рекламы менее чем за два часа противоречит оценке Trend Micro, согласно которой рекламная кампания была активной как минимум неделю. Когда в Gizmodo обратили внимание на это несоответствие, пресс-секретарь YouTube отказался давать дальнейшие комментарии.
Но источник в YouTube, который знаком с ситуацией, объяснил, что упомянутые два часа касаются каждого отдельного вредоносного объявления, а не всех объявлений в целом. Сервис одобряет чистое объявление с чистой учётной записью, созданной злоумышленником. Когда объявление запускается, злоумышленники используют различные методы клонирования, чтобы обмануть систему YouTube и поменять его на то, которое включает вредоносный скрипт. Через пару часов оно будет обнаружено, снято, а пользователь, который отправил его, обнаружит свой аккаунт удалённым. С новым объявлением эта процедура повторяется.
