Hackean Coinhive: miles de webs minan criptomonedas para un hacker

CoinHive es un servicio que está siendo utilizado por miles de páginas web para minar criptomonedas como Monero en segundo plano mientras los usuarios las visitan, siendo esto una alternativa a ofrecer publicidad. The Pirate Bay es una de las webs que usan Coinhive, el cual fue hackeado ayer. Coinhive permite a una web usar un porcentaje determinado del procesador de los usuarios que la visitan para obtener Monero mediante un JavaScript. Sin embargo, en lugar de que la propia web se quedase con ese Monero generado, un hacker consiguió hacer...

[#26 DidE]

Shortly after the launch of Coinhive, several Adblockers have begun blocking our miner. This is unfortunate because we intended Coinhive to be an alternative to ads, precisely for users with adblockers.

However, we have to acknowledge that the decision to block Coinhive was understandable as it was possible to run the miner on a webpage without asking the visitor for consent or even informing them. Even some antiviruses now consider our JavaScript miner as a threat, which makes it difficult for website owners to use Coinhive at all.

We implemented AuthedMine as a solution to these problems. The JavaScript Miner, Simple UI and Captcha, when loaded from authedmine.com, will never start without asking for consent from the user or (for the Simple UI and the Captcha) letting them explicitly start mining through a click.

We realize this opt-in may be clunky and not fit all too well with your use case, but we strongly believe that being honest with the user will ultimately be beneficial - for users and website owners alike.

Neither the JavaScript files on authedmine.com nor the domain names are currently blocked by any adblockers or antiviruses. We will talk to adblock and antivirus vendors so it will hopefully stay this way.

https://coinhive.com/documentation/authedmine

[#14 Penrose]

Pues es una pena, porque es una forma de financiar sitios sin meter publi.

[#15 meritonciokin]

#14 Debes ser un especimen raro, aquí a la gente les jode que otro gane dinero sea como sea...

[#31 Desactivado]

#15 Me parece que es un tema de qué tan molesta o intrusiva es esa forma de ganar dinero. Lo de utilizar tu ordenador como fuerza de trabajo me parece poco ético.

[#20 Desactivado]

#14 hasta que revientas el ventilador de mi portátiles.

Es un asco más.

[#22 Ferran]

#20 Si es gratis, el producto eres tú es tu ventilador

[#27 meso]

#14 a mi me parece bien, pero que avisen y/o decidas tu si quieres utilizar recursos de tu ordenador para financiar la web. Hablo en caso de portátiles por ejemplo de que estás leyendo un periódico online y el de mientras chupando de tu procesador. Y drenando la batería cual Pokemon Go

[#37 Moléculo]

#14 Cuando me regalen la ram (que el minado por CPU tralla que da gusto y pocas veces viene refrigerada) entonces.

Si no no me sale a cuenta.

[#2 Desactivado]

Y seguimos sin hacer caso a@Cocopino. JavaScript siempre apagado.

[#5 TarekJor]

CoinHive es simplemente un servicio (tipo CDN) para "inyectar" el script hacia una web y gestionar el minero supongo, la cuestión más que ese hecho, es si hay consentimiento del usuario para que se haga eso (y es peligroso)

Actualmente, lo están haciendo "A ESPALDAS" del usuario desde la "OBSCURIDAD", y no es la primera vez, ThePirateBay lo hizo, y fue un detalle muy feo, también hay más casos, como extensiones de navegador, y habra más...

O el caso de uTorrent, con "Epic Scale" que provocó un éxodo hacia qBittorrent, Transmission y similares (clientes Bittorrent)

Es peligroso porque "aunque haya consentimiento" si es del timo "aceptas los términos de nuestro" sitio (que casi nadie lee)
Estamos en las mismas...

Consejos:

Usar NoScript o similares, navegador siempre actualizado y de fuentes fiables o confiables (incluso compilar código uno mismo para el que quiera-pueda, y dude de todo) (nunca habrá 100% seguridad)

Usar Firefox, Chromium, Chrome-Opera-Brave o lo que fuera.
Bloquear Javascript "globalmente" en los casos más extremos o de forma predeterminada en sitios "no confiables" como dice #2

[#10 dreierfahrer]

#5 q den conciertos!

[#19 Desactivado]

#5 como programador web no se donde puedes ir sin JavaScript.

El producto de mi empresa da alternativa a sin JavaScript, pero experiencia de usuario cero.

Y ya ni hablemos de lo que usa js como los productos de google.

[#21 TarekJor]

#19 Cierto, es toda la interacción, por eso es un "último recurso" (es pura fuerza bruta)

NoScript (y similares) te permite seleccionar que scripts no cargar y cuales no... (listas blancas, negras, etc)

Pero ya sabemos como va esto, si se ponen creativos y lo ofuscan y ocultan, solo se detectará "cuando la CPU se dispare" por pestañas, y si son "más listos" y conservadores, el minero puede "no ser tan fácil de detectar" igual en enjambre a una masa de clientes, la cosa monetizaría igual... no lo sé

(Desconozco cuanto se saca por cada 1000 usuarios desde el navegador), pero si empieza a ser "rentable" muchos lo implementarán, no me cabe duda, la cosa es que muestren "UN AVISO BIEN GRANDE", incluso central, más intrusivo que el de las cookies dichosas (que esto es más importante)

[#33 Desactivado]

#19 A mi no me parece tan catastrófico, las páginas que uses habitualmente las puedes permitir y recordar, y si entras en páginas de forma esporádica ya depende de tus hábitos. La mayoría de las páginas funcionan si lo que vas a es a leer un artículo, si tiene algún vídeo incrustado no va a funcionar sin javascript.

Eso sí, me parece que es para usuarios que tengan al menos alguna noción de qué es javascript, como funciona, y que sepa entender que cuando algo no funciona puede ser por eses javascript.

[#24 Pacman]

#5 Para el usuario es transparente, no se entera.
aunque el antivirus, por ejemplo AVG, lo detecta y bloquea.

Quizas seria una forma util de financiación de sites como Wikipedia, pero siempre avisando, no me parece correcto hacerlo a oscuras.

[#25 TarekJor]

#24 Estoy de acuerdo, de hecho para mí esa es la clave del asunto (AVISO bien grande y ACEPTACIÓN del usuario), en el caso de Wikipedia, y del valor del Bitcoin, Monero o Ethereum, les podría venir de perlas, porque si que tienen muchas visitas recurrentes y concurrentes (y de eso va esto en el fondo)

[#36 Desactivado]

#25 Pues sí, lo mismo que aceptas dar acceso a tu localización, las notificaciones o la cámara, incluso se podría dar acceso a la GPU para minar criptomoneda más rápido, pero con permiso explicito, como dices.

[#28 Shotokax]

#2 #5 yo terminé harto de bloquear JavaScript. Lo hice durante un tiempo y desistí.

Aquí un complemento para bloquear el minado en Firefox:

https://addons.mozilla.org/en-US/firefox/addon/no-coin/

Edito:

También parece que se puede bloquear con AdBlock Plus:

https://venturebeat.com/2017/09/21/adblock-plus-can-now-protect-your-computer-from-being-hijacked-to-mine-cryptocurrency/

[#11 Mandylion]

#2

[#4 sorrillo]

Si se populariza los navegadores deberían indicar con algún tipo de icono, como hace chrome con el sonido, que pestañas están actuando de esa forma.

[#12 meritonciokin]

#4 En teoría esto es para eso, pero a mi no me ha saltado ni una web con esto activado. ¿Sabéis de alguna para probar?

https://chrome.google.com/webstore/detail/no-coin/gojamcfopckidlocpkbelmpjcgmbgjcl

Edito: Entro en https://thepiratebay.bet/ y se actiba. Y puedes bloquearlo o dejarlo.

[#16 meritonciokin]

#12 "Activa"... Que se me ha colado la B.

[#32 Estopero]

No solo me parece una buena forma de financiación para webs que ofrecen gratuitamente su contenido, sino que me parece EL FUTURO de la monetización de contenidos y además beneficiaría a los usuarios y a la calidad de internet en general. Y explico las razones:

1. La publicidad actual se basa en que un usuario pinche en un banner. Los usuarios habituales no pinchan en los banners porque ya son inmunes, por lo que las webs generalmente enfocan su experiencia de usuario para qur la gente pique, se despiste, o meten banners enormes e intrusivos. Osea, que se mejoraría la experiencia de usuario

2. La gente que más pincha en banners es la gente que viene de fuentes externas como buscadores o agregadores, esto provoca que se utilizen a menudo titulares sensacionalistas para atraer al usuario de forma poco honesta y una vez dentro el contenido importa poco, lo importante es que pinche en un banner. osea que se mejorarían los titulares, y esto regularía el sensacionalismo.

3. Como lo interesante del cálculo de criptomonedas es que la gente esté calculando mucho tiempo, las webs enfocarían más sus contenidos a tener atrapado al lector, es decir que serían contenidos más amplios y de mayor calidad en lugar de captar al usuario despistado que está menos de un minuto en tu site y pincha un banner. Osea que se mejorarían los contenidos, y la información sería de más calidad.

De verdad es el futuro, y solo a cambio de un poco de uso de tu microprocesador. Para que las cosas sigan siendo gratis hay que dar algo a cambio, puede ser tu dinero, pueden ser tus datos, puede ser publicidad, o puede ser un poco de uso de tu pc, que como ya he explicado pienso que traería muchos beneficios.

Esto es una opinión personal, no un estudio. Pero creo que realmente ir contra esta forma de financiación es perjudicial para internet y para los usuarios

[#34 Naiyeel]

#32 Pienso como tu, pero que no se entere... aunque creo que ya echaron a Alierta de telefónica no?

[#30 sieteymedio]

Parece el nombre de un personaje de Star Wars; Hackean Coinhive

[#3 cadgz]

Yo estoy deseando que saquen el criptomonopoli para trollear a la gente por el ciberespacio con dinero "falso"

[#6 SrEstaire]

Evitadlo:
https://noscript.net/

PD Ojito que Firefox Quantum no le da compatibilidad

[#17 TarekJor]

#6 Mozilla ha "rediseñado" todo el sistema de addons "extensiones", hacia uno tipo "WebExtensions", multinavegador-compatible, pero lo ha hecho mal, porque se ha cargado XUL y XPCOM y el addons-SDK (que tiene más funciones) sin reemplazar funcionalidad por funcionalidad...

Eso implica que muchas extensiones que no adapten los desarrolladores (algunas no pueden o no podrán ya que no existe la forma con la nueva "tecnología", de momento...)

Extensiones como DownThemAll, o FireSSH, o FireFTP, entre otras, son "aplicaciones" "legacy" y dejarán de funcionar a partir de Noviembre (cuando salga Firefox57)....

Ese último movimiento ha encabronado a bastantes desarrolladores y usuarios porque hay extensiones muy útiles y "no hay reemplazo".

Pese al argumento "evoluciona o muere", hay cosas que no hay que cambiar tan bruscamente (mi opinión)

Más info en blog.mozilla.org/addons/, reddit y otras fuentes (no he visto ninguna info en Meneame, pero supongo que es un tema "muy concreto" del mundillo.

[#35 SrEstaire]

#17 Entonces me seguiré quedando para algunas cosas con los fork de firefox

[#29 Desactivado]

Quien roba a un ladrón tiene 100 años de perdón.

[#1 Desactivado]

¿Para cuando la criptopeseta?

[#7 Desactivado]

#1 http://pesetacoin.info/

De nada.

[#8 Desactivado]

#7 me debes 6000 pesetas en whisky

[#9 Desactivado]

#7

[#18 parrita710]

#1 Puedes fundar tu propia crypto en la plataforma de Waves por un token. La Meneacoin por ejemplo.

[#23 nomeves]

#18 Puedes, otra cosa es que tenga éxito

[#13 TarekJor]

relacionada:

Chrome y función de seguridad para evitar minado de criptomonedas sin autorización del usuario

Chrome y función de seguridad para evitar minado d...