挖矿软体Coinhive大举渗透至少4200个网站美、英政府机构网站也不例外

Scott Helme在其推特上公布其研究发现。

安全研究人员发现，美国与英国超过4200个网站因提供的视障辅助软体被植入挖矿软体，进而利用广大民众的浏览器来挖加密货币Monero。
 
研究人员Scott Helme发现，这些网站上一个由英国公司Texthelp製作的网页语音辅助软体Browsealoud被暗中植入了知名的Coinhive Monero挖矿程式。受害网站总数达4,275个，其中不乏政府机构，包括美国法院总网站USCourt.gov、英国国民健康署（National Health Service, NHS）、英国隐私主管机关资讯委员会办公室（ICO）、多家英国大学以及澳洲政府网站等。
 
研究人员指出，这个Monero挖矿程式是在英国格林威治时间周日凌晨3:00到早上11:45之间被注入Browsealoud程式码中。任何人只要造访这些网站，电脑浏览器就会被用来挖Monero币。
 
目前这起事件是何人所为尚不得而知。所幸只要关闭浏览器，採矿程式就结束执行，而且多数防毒软体及广告封锁软体也都能侦测。消息经报导后，Texthelp公司已关闭其辅助软体，受影响的一些网站（https://ico.org.uk）也都及时断线因应。
 
为免网站被注入恶意程式，研究人员建议网站管理员使用名为Subresource Integrity（SRI），利用签章技术侦测并防堵外部人士于网站中注入程式码。
 
近日已发生多次採矿程式利用NSA被外洩的攻击工具及软体漏洞，感染数万、数十万台电脑或伺服器以遂其挖矿获利目的。根据一项安全研究，恶意採矿程式已成为不亚于勒赎软体及垃圾邮件的新兴网路威胁。