Se
descubrió una campaña maliciosa que se vale de un esquema alternativo para
robar criptomonedas sin la necesidad de inyectar directamente JavaScript de
Coinhive en múltiples sitios web vulnerables.
Coinhive
ofrece a los proveedores de sitios web insertar código JavaScript que usa la
potencia de la CPU de los visitantes de su sitio web para sustraer criptomonedas
de Monero.
El
grupo de ciberdelincuentes encargados de realizar estas acciones crearon una
versión de código JavaScript de Coinhive incorporándolo a los sitios web vulnerables
para extraer dinero ilegalmente al engañar a los usuarios.
Adicionalmente
Coinhive, ofrece un “Acortador de URL” creando un enlace corto con un pequeño
retraso insertado, permitiendo a los ciberdelincuentes minar criptomonedas de Monero
por segundos antes de redirigir a usuario a la URL original.
Durante
la investigación se descubrió que existían sitios web legítimos que fueron vulnerados
al cargar un URL corto creado a través de Coinhive, dentro de un iFrame HTML oculto,
para intentar forzar a los navegadores a generar criptomonedas para los
atacantes.
“Los
ciberdelincuentes agregan un código JavaScript oculto en sitios web vulnerados,
que dinámicamente inyecta un iFrame invisible (1 × 1 píxel) en la página web
tan pronto como se carga en el navegador del visitante” publicaron los
investigadores.
Es
importante destacar que el iFrame usado está oculto en el sitio web siendo
invisible, por consiguiente, es difícil de detectar. La intención es alcanzar
el mayor número de hash, mientras que el enlace detrás de la URL corta envía al
usuario al mismo sitio web para intentar iniciar el proceso de minería
nuevamente, engañando al usuario al pensar que el sitio web se actualizó.
Los
ciberdelincuentes actualmente están insertando hipervínculos en diversos sitios
web vulnerables para que los usuarios descarguen un software de criptomoneda
que se presenta como legítimo pero que realmente es malicioso.
Por
su parte, las empresas encargadas de actualizaciones de firmas de seguridad, y
compañías de antivirus agregaron este código malicioso para que pueda ser
detectado y no autorizado para su ejecución.
Fuente: The Hacker News
