Sophos 如何保護客戶:Google Play 上的加密貨幣挖礦程式

SophosLabs 繼續看到網路型加密貨幣挖礦程式持續增加,它會偷偷利用受害者電腦的處理能力去挖掘數位貨幣。最新的例子是透過 Google Play 上的受感染應用程式來鎖定 Android 裝置。



我們雪梨團隊的網路威脅研究人員 Pankaj Kohli 在一篇新文章中概述了這些對惡意軟體的最新發現。文章中將 Android 挖礦惡意軟體分為兩大類:JavaScript 寫成的瀏覽器內嵌挖礦程式,以及第三方挖礦模組,如 CoinMiner。

Kohli 回報說,自今年年初以來,SophosLabs 在 Google Play 中發現了 19 個躲藏 JavaScript 挖礦程式 CoinHive 的應用程式。同時,研究人員在 2017 年 6 月至 11 月間發現了超過 28,000 個 Loapi 挖礦惡意軟體的變種。

Coinhive 的運作方式

CoinHive 會透過網頁瀏覽器挖掘 Monero (門羅幣),特別是利用應用程式的網頁檢視。由於這個網頁檢視通常是隱藏式的,不用要求權限就可獲得使用裝置處理能力,所以使用者不會看到任何異常狀況。但是,由於挖礦程式的 CPU 使用率一直很高,使用者可能會注意到裝置變慢且溫度升高。

Coinminer 的運作方式

該第三方挖礦程式使用一個 CpuMineron 版本來在受害者裝置上挖掘 BitCoin (比特幣) 或 Monero。Kohli 解釋說,這個 CoinMiner 已經被發現躲藏在第三方網站流行應用程式的遭駭版本中。這些網站會提供可偽裝成 Google Play 上流行應用程式安裝程式的 App,例如防病毒應用程式、遊戲、公用程式等。

CoinHive 和 CoinMiner 的崛起緊追著另一個在第三方網站上被稱為 Loapi 的惡意挖礦程式,其偽裝成流行的防毒和成人內容 App。它會下載並安裝幾個模組,每個模組執行不同的惡意操作,例如將裝置資訊傳送遠端伺服器、竊取簡訊、置入廣告、抓取網頁、建立代理程式和挖掘 Monero。Sophos Mobile Security (SMSec) 將其偵測為 Andr/Loapi.a 和 Andr/Loapi.B。

Sophos 如何保護客戶

SophosLabs 將 CoinMiner 變種偵測為 Andr/CoinMine-A 和 App/BtMiner-A。CoinHive 的個案被偵測為 App/AndrCnhv-A 和 App/JSMiner。在使用者可能偶遇這些遭駭的網頁之前,我們就已經封鎖了對這些網站的存取。

為了獲得這項保護,我們鼓勵使用者下載 Sophos Mobile Security,這項企業行動管理 (EMM) 技術專門用於保護個人和商業裝置上的企業資訊。

過去我們將偵測到的加密貨幣挖礦程式判定為 PUA (可能不需要的應用程式),意味著不會自動清理。系統管理員將獲得 PUA 偵測警示,可選擇三種可能的選項:清理、授權或知悉。

不過,SophosLabs 開始看到 CoinHive 等出現了狡猾的行為,因次從上個月起改變作法。按照這些類型的加密貨幣挖礦程式的寄生性質,我們現在起將它們標記為惡意軟體,當使用者偶遇窩藏它們的網站時會加以阻擋。

SophosLabs 向 Google 回報了這些最新發現,Google 已經從 Google Play 中刪除了有問題的應用程式。

英文原文:https://news.sophos.com/en-us/2018/02/01/cryptominers-on-google-play-how-sophos-protects-customers

(本文為翻譯本,內容以英文原文為準)