Kryptomining: Coinhive-Skripte warnen vor sich selbst

Der Sicherheitsforscher Troy Hunt hat die Domains des Kryptominers Coinhive bekommen. Mit ihnen macht er auf Sicherheitsprobleme aufmerksam.

Artikel veröffentlicht am ,
Monero-Mining (Symbolbild)
Monero-Mining (Symbolbild) (Bild: BeatingBetting/CC-BY 2.0)

Der Sicherheitsforscher Troy Hunt hat die Domains des eingestellten Kryptominingdienstes Coinhive unter der Bedingung erhalten, dass er etwas Nützliches damit macht. Nun warnt Coinhive vor Kryptomining.

Stellenmarkt
  1. Digitalisierungsexperte (Smart Factory) und Lean Manager (m/w/d)
    Knauf Gips KG, Iphofen bei Würzburg
  2. Junior IT-Security Engineer SIEM (m/w/d)
    Helios IT Service GmbH, Berlin
Detailsuche

Die Javascript-Bibliotheken von Coinhive konnten von Webseitenbetreibern integriert werden, um auf den Geräten von Besuchenden die Digitalwährung Monero zu minen. Allerdings wurde der Dienst häufig heimlich oder von Kriminellen in gehackte Webseiten integriert. Auch 200.000 Router des Herstellers Mikrotik wurden mit einer Kryptominer-Malware infiziert, die auf Coinhive zurückgriff.

Obwohl Coinhive seinen Dienst bereits Anfang 2019 einstellte, sind die Bibliotheken immer noch in einigen Webseiten vorhanden, beispielsweise, weil sie nach einem Hack nie entfernt wurden. Hunt lässt die Coinhive-Skripte nun eine Warnung auf den betroffenen Webseiten einblenden: "Diese Website hat versucht, einen Kryptominer in Ihrem Browser auszuführen."

Coinhive.com leitet auf Troy Hunts Blog um

Die Webseite Coinhive.com leitet derweil auf einen Blogeintrag auf Hunts Webseite um, auf der er sein Vorgehen ausführlich erklärt. Dabei weist er auch auf die damit einhergehenden Sicherheitsprobleme hin. Denn statt die Warnung auszugeben, könnte Hunt auch beliebigen anderen Javascript-Code auf den Webseiten ausführen lassen.

Golem Akademie
  1. C++ Programmierung Basics: virtueller Fünf-Tage-Workshop
    13.–17. Dezember 2021, virtuell
  2. CEH Certified Ethical Hacker v11: virtueller Fünf-Tage-Workshop
    10.–14. Januar 2022, Virtuell
Weitere IT-Trainings

Beispielsweise könnte er ändern, wohin die Formulare gesendet werden oder Keylogger hinzufügen, schreibt Hunt. Auch könnte er andere externe Inhalte einbinden oder zu Schaddateien weiterleiten, sowie "alle möglichen anderen sehr fiesen Dinge" machen.

"Das ist die Macht, die Sie aus der Hand geben, wenn Sie die Javascript-Skripte eines anderen in Ihre eigene Seite einbetten", warnt Hunt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Fire TV Stick 4K Max im Test
Amazons bisher bester Streaming-Stick

Viel Streaming-Leistung für wenig Geld - das liefert der neue Fire TV Stick 4K Max. Es ist ganz klar Amazons bisher bester Streaming-Stick.
Ein Test von Ingo Pakalski

Fire TV Stick 4K Max im Test: Amazons bisher bester Streaming-Stick
Artikel
  1. Telekom-Internet-Booster: Feldtest bringt über 600 statt 50 MBit/s ins Haus
    Telekom-Internet-Booster
    Feldtest bringt über 600 statt 50 MBit/s ins Haus

    Die Telekom beginnt mit 5G DSL. Dafür wird im Haushalt eine Außenantenne benötigt.

  2. Pulsar Fusion: Mit Plastikmüll-Treibstoff in den Weltraum
    Pulsar Fusion
    Mit Plastikmüll-Treibstoff in den Weltraum

    Das Raumfahrt-Start-up Pulsar Fusion hat einen hybriden Treibstoff aus Plastikmüll entworfen. Die ersten Testzündungen waren erfolgreich.

  3. Steam: Landwirtschafts-Simulator 22 schlägt Battlefield 2042
    Steam
    Landwirtschafts-Simulator 22 schlägt Battlefield 2042

    Bessere Wertung, höhere Verkaufszahlen und mehr Multiplayer: Auf Steam gewinnt Landwirtschafts-Simulator 22 haushoch gegen Battlefield 2042.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Heute ist Cyber Monday • AMD Ryzen 7 5800X 348€ • Nur noch heute bis 50% auf Amazon-Geräte • 3 für 2: Star Wars & Marvel • Bis 50% auf beyerdynamic + Gratis-Kopfhörer • Cyber Monday bei MM/Saturn (u. a. Xiaomi 11 Lite 5G 299€) • Alternate (u. a. be quiet CPU-Kühler 29,99€) [Werbung]
    •  /