Boom di miner sui siti Web. Funzione legittima o cyber-crimine?

Ott 19, 2017 Marco Schiaffino Hacking, In evidenza, Malware, News, RSS 0

Si moltiplicano i siti che usano JavaScript che usano il PC dei visitatori per generare cripto-valute. Ma non sempre lo dicono…

Il primo è stato CoinHive, ma nelle ultime settimane abbiamo assistito a una vera esplosione del fenomeno con la nascita di numerosi cloni, che stanno letteralmente invadendo il Web.

Stiamo parlando dei miner JavaScript, pensati per sfruttare la potenza di calcolo del computer dei visitatori di un sito Internet per generare cripto-valute in favore degli amministratori del sito.

In teoria, l’uso dei miner viene proposto come un’alternativa alla pubblicità per garantire un rientro economico ai siti Internet che decidono di utilizzare questa tecnica al posto di intasare lo schermo di fastidiosi banner e pop-up.

Anche se pochi se ne rendono conto, però, “prestare” il proprio computer a un’attività del genere ha un costo che, nello specifico, si riversa sulla bolletta dell’energia elettrica. La logica è semplice: visto che la CPU lavora di più, consuma di più.

Il guadagno del sito, quindi, ha come conseguenza una spesa (anche se minima) da parte del visitatore che sta “prestando” il suo PC all’attività di mining.

Nella pratica, però, sono ben pochi quelli che avvisano in maniera corretta i visitatori e ancora meno quelli che permettono di bloccare la funzione attraverso un sistema di controllo integrato nella pagina. E qui si solleva il problema: l’uso di un JavaScript di questo tipo può essere considerata una truffa o addirittura un furto?

Piccolo esperimento: provate a visitare il sito di CoinHive e avviare il JavaScript nella parte superiore dello schermo. La CPU si mette a lavorare e la ventola del computer parte quasi immediatamente.

La questione, che purtroppo rischia di rimanere a lungo in quella terra di nessuno che caratterizza i fenomeni più innovativi su Internet, meriterebbe in realtà di essere risolta il più rapidamente possibile.

Perché il fenomeno sta letteralmente sfuggendo al controllo. Per capirlo è sufficiente considerare che CoinHive è stato lanciato a metà settembre e, da allora, sono comparsi numerosi cloni del Javascript. Si parte da Crypto-Loot per passare a MineMyTraffic, JSEcoin, Coin Have e PPoi.

Nel repository di WordPress sono comparsi anche dei plugin che gli utenti del popolare software per la creazione di siti Web possono integrare facilmente. Alcuni sono stati rimossi, ma altri no.

Chi vuole inserire un plugin per il mining nel suo sito realizzato con WordPress può contare già su numerosi plugin.

Il motivo è quello a cui abbiamo accennato in precedenza: se il miner viene inserito avvisando gli utenti, non si tratta di nulla di illegale. Il suo abuso, attraverso l’attivazione automatica del JavaScript e senza alcun avviso, è però un’altra cosa.

A rendere più complicato il tutto è il fatto che la cripto-valuta utilizzata sia Monero. La scelta di MXR (la sigla con cui sono conosciuti i Monero) è dovuta al fatto che l’algoritmo usato per la gestione delle transazioni (e quindi per il mining) è pesata per offrire buone performance con i processori consumer.

A differenza di quanto accade con i Bitcoin o altre cripto-valute, infatti, l’uso di dispositivi speciali che usano processori grafici per i calcoli non offre grandi vantaggi.

Monero, però, ha anche un’altra caratteristica: garantisce un livello di anonimato superiore ai suoi “colleghi”. I truffatori, quindi, sono anche difficilmente tracciabili e l’attrattiva per un uso “malevolo” del sistema è quindi piuttosto elevata.

Una possibile soluzione però si sta profilando. Dalla comparsa di CoinHive, molti plugin per il blocco delle pubblicità (e anche alcuni antivirus) hanno cominciato a bloccare i miner integrati nei siti Internet, segnalandoli come elementi pericolosi.

È possibile, quindi, che nel giro di qualche settimana gli utenti che utilizzano un software di sicurezza possano considerarsi al riparo da eventuali abusi.

L’uso legittimo sarebbe invece garantito da sistemi di Opt-In (autorizzazione esplicita) come quello messo a punto dagli sviluppatori di CoinHive. Si chiama AuthedMine e nelle loro intenzioni dovrebbe risolvere la quesitone una volta per sempre.

Un avviso di questo genere può rappresentare un modo per garantire l’uso legittimo di CoinHive.

Con AuthedMine il JavaScript di mining non sia avvia automaticamente (e quindi non viene bloccato) ma parte solo dopo che viene espresso il consenso del visitatore.

Resta da capire se non ci sia il rischio che qualcuno faccia versioni alternative in cui il testo viene modificato in modo da indurre il visitatore a fare clic sul pulsante con una qualsiasi giustificazione…

Condividi l'articolo