Осторожнее с Youtube! Ох уж этот майнинг...

Сегодня заметил подозрительное увеличение нагрузки на процессор во время просмотра роликов на ютубе. После некоторого времени поисков - удалось выяснить, что после прохода некоторых жёлтых отсечек рекламы начинает исполняться в 8-9 потоков js код, а нагрузка на процессор подлетает до 100%, пока не закрыть вкладку с ютубом.
Начало кода имеет следующий текст:


self.CoinHive = self.CoinHive || {};

self.CoinHive.CONFIG = {

LIB_URL: "https://coinhive.com/lib/",

ASMJS_NAME: "worker-asmjs.min.js",

REQUIRES_AUTH: false,

WEBSOCKET_SHARDS: [["wss://ws001.coinhive.com/proxy", "wss://ws002.coinhive.com/proxy", "wss://ws003.coinhive.com/proxy", "wss://ws004.coinhive.com/proxy", "wss://ws005.coinhive.com/proxy", "wss://ws006.coinhive.com/proxy", "wss://ws007.coinhive.com/proxy", "wss://ws029.coinhive.com/proxy"], ["wss://ws008.coinhive.com/proxy", "wss://ws009.coinhive.com/proxy", "wss://ws010.coinhive.com/proxy", "wss://ws011.coinhive.com/proxy", "wss://ws012.coinhive.com/proxy", "wss://ws013.coinhive.com/proxy", "wss://ws014.coinhive.com/proxy", "wss://ws030.coinhive.com/proxy"], ["wss://ws015.coinhive.com/proxy", "wss://ws016.coinhive.com/proxy", "wss://ws017.coinhive.com/proxy", "wss://ws018.coinhive.com/proxy", "wss://ws019.coinhive.com/proxy", "wss://ws020.coinhive.com/proxy", "wss://ws021.coinhive.com/proxy", "wss://ws031.coinhive.com/proxy"], ["wss://ws022.coinhive.com/proxy", "wss://ws023.coinhive.com/proxy", "wss://ws024.coinhive.com/proxy", "wss://ws025.coinhive.com/proxy", "wss://ws026.coinhive.com/proxy", "wss://ws027.coinhive.com/proxy", "wss://ws028.coinhive.com/proxy", "wss://ws032.coinhive.com/proxy"]],

CAPTCHA_URL: "https://coinhive.com/captcha/",

MINER_URL: "https://coinhive.com/media/miner.html",

AUTH_URL: "https://authedmine.com/authenticate.html"

};


Подозрительные названия переменных наводят на определённые мысли.. Будьте бдительны!
UPD: замечено было в браузере Google Chrome.

8
Автор поста оценил этот комментарий

AdGuard и проблем нет

раскрыть ветку (1)
5
Автор поста оценил этот комментарий

Провёл эксперимент с этим расширением для хрома - вроде помогает. Пока майнер больше не запускался при просмотре роликов (как и заблочилась вся жёлтая реклама). Это тоже в пользу теории, что майнер в какой-то рекламе зашит и проходит через проверки гугла/ютуба и т. д.

DELETED
Автор поста оценил этот комментарий

Тоже все норм. Firefox, adblock

раскрыть ветку (1)
2
Автор поста оценил этот комментарий

На лисе да, всё хорошо, там нет sw.js и соответственно этой уязвимости (это фишка гуглохрома)

показать ответы
60
Автор поста оценил этот комментарий

Почему у меня никаких "левых" нагрузок при просмотре ютрубы и всё работает нормально? Комп проверь, на всякий случай, может какая хуйня в браузере засела.

раскрыть ветку (1)
8
Автор поста оценил этот комментарий

Наткнулся на статейку про ServiceWorker... похоже
https://habrahabr.ru/company/badoo/blog/318000/

показать ответы
8
Автор поста оценил этот комментарий

Наткнулся на статейку про ServiceWorker... похоже
https://habrahabr.ru/company/badoo/blog/318000/

раскрыть ветку (1)
9
Автор поста оценил этот комментарий

Да, тут по всем признакам используется уязвимость, описанная в статье на хабре. В других браузерах (firefox, edge) проблема не была обнаружена. Windows Defender эту угрозу игнорирует, похоже правда придётся поставить антивирь, или переходить на другой браузер :)

показать ответы
10
Автор поста оценил этот комментарий

Я могу весь код скрипта скинуть в качестве пруфа (он после автоформата занимает 1800 строк), если нужно, но что самое интересно - после публикации поста, мне удалось словить запуск этих скриптов ещё один раз (после чистки кэша). Больше запусков скриптов пока не удалось отловить. И это не зависит от ролика, который просматривать. Я замечал это на разных роликах, и сейчас например на этих же роликах скрипты не запускаются. Возможно если это все-таки с ютубом связано, а не с вирусами у меня, то тут ещё какие-то факторы влияют, как то время нахождения на сайте и т. д.

раскрыть ветку (1)
9
Автор поста оценил этот комментарий

Ещё раз получилось только что в хроме отловить) ролик на котором тестирую вот этот:
https://www.youtube.com/watch?v=CxddlYdGFkg
на нём много отсечек рекламы

показать ответы
60
Автор поста оценил этот комментарий

Почему у меня никаких "левых" нагрузок при просмотре ютрубы и всё работает нормально? Комп проверь, на всякий случай, может какая хуйня в браузере засела.

раскрыть ветку (1)
10
Автор поста оценил этот комментарий

Заметил это только сегодня, раньше тоже всё было хорошо. Но проверю конечно на всякий случай)

показать ответы
3
Автор поста оценил этот комментарий

Кто - нибудь может проверить этот видос.
https://www.youtube.com/watch?v=C6-TWRn0k4I&t=26s
У моего товарища 100% загрузка у меня ничего.


На видосе ТСа, всё гладко проц еле грузится.

раскрыть ветку (1)
3
Автор поста оценил этот комментарий

Да, у меня в хроме тоже 100%, а в Firefox - минимальная нагрузка.

показать ответы
27
Автор поста оценил этот комментарий
ПРУФЛИНК в студию!
Есть вероятность ты сам схавал вирус (или добровольно установил дополнение-трояна).

Так что давай кто-то независимый проверит видосик.

раскрыть ветку (1)
10
Автор поста оценил этот комментарий

Я могу весь код скрипта скинуть в качестве пруфа (он после автоформата занимает 1800 строк), если нужно, но что самое интересно - после публикации поста, мне удалось словить запуск этих скриптов ещё один раз (после чистки кэша). Больше запусков скриптов пока не удалось отловить. И это не зависит от ролика, который просматривать. Я замечал это на разных роликах, и сейчас например на этих же роликах скрипты не запускаются. Возможно если это все-таки с ютубом связано, а не с вирусами у меня, то тут ещё какие-то факторы влияют, как то время нахождения на сайте и т. д.

показать ответы
1
Автор поста оценил этот комментарий

Тс, спасибо. Я то думаю что за фигня. Лагать жутко начинает исключительно если просмотр в полноэкранном режиме. Если его вырубить то все идеально. Дык как этот майнинг отрубить? Касперский не реагирует.

раскрыть ветку (1)
Автор поста оценил этот комментарий

Я AdGuard поставил расширение - и больше этой проблемы не было замечено.

1
Автор поста оценил этот комментарий

как начинает исполняться в 8-9 потоков js код, когда js - однопоточный?

раскрыть ветку (1)
2
Автор поста оценил этот комментарий

есть подозрения, что их запускает sw.js... пробую дальше разбираться

Иллюстрация к комментарию
DELETED
Автор поста оценил этот комментарий
Автор скажи, а в хроме установлено расширение WOT (web of trust)
раскрыть ветку (1)
1
Автор поста оценил этот комментарий

Нет, такого расширения нет