Android用户小心偷渡式挖矿新手法 趁CAPTCHA图像验证时偷挖

网路安全厂商Malwarebytes发现一恶意广告，可将Android用户导向挖矿网站，并趁着使用者解决CAPTCHA图像验证问题之际，让Android装置火力全开地挖矿。

此一恶意广告是在去年11月现身，骇客可能将恶意广告置放于合法网站或嵌入行动程式中，以将使用者导至挖矿网站，当Android用户连至挖矿网站时，首页会跳出警告讯息，宣称使用者装置出现可疑的浏览行为（下图，来源：Malwarebytes），要求使用者解决CAPTCHA问题以证明自己并非机器人，还坦白说明在输入验证码之际，会利用使用者的装置资源来挖掘门罗币（Monero），以支付机器人流量所衍生的服务器成本。

这些挖矿网站利用Android装置进行挖矿的行为会在使用者解决CAPTCHA问题并按下「继续」之后结束，然后即连结到其实根本不需要验证的Google首页。

根据Malwarebytes的调查，至少有5个挖矿网站与该恶意程式有关，逾9成的流量来自于移动装置，单日造访人次总计为80万，平均停留时间为4分钟，以10 Hash/s的ARM处理器采矿效能来计算，估计黑客一个月约进帐数千美元。

研究人员表示，纵使移动装置的能力不如桌面装置，但聚沙成塔的力量是它受到骇客垂青的主因；建议移动装置用户也应部署安全机制，以避免装置资源遭到绑架，甚至造成装置的永久性损害。