DenníkN ťažil na PC návštevníkoch kryptomenu: Procesory im vyťažoval na 100 %
Desktopové webové stránky jedného z najčítanejších slovenských denníkov dnes na čitateľoch potajomky ťažili kryptomenu. Na zaujímavé a zároveň neetické praktiky upozornil server DSL.sk.
Denník mal pomocou Javascriptu mineru služby Coinhive ťažiť kryptomenu Monero. DenníkN mal podľa čitateľa, ktorý serveru DSL zaslal všetky dôkazy, uložený priamo na titulnej stránke, ako aj v samotných článkoch. Vyťažoval pritom všetky vlákna procesoru na 100 %, a to kvôli tomu, že využíval počítače svojich čitateľov na ťaženie spomínanej meny.
Zdroj: https://androidportal.zoznam.sk/2017/09/dennikn-tazil-pc-navstevnikoch-kryptomenu/
Pre pridávanie komentárov sa musíte prihlásiť.
Len pre spravnost, kod mal vo svojom zdroji externy dodavatel, nebolo to v scriptoch samotneho dennika ...
To tvrdí šéfredaktor. Ja nič, ja muzikant... :)
Tak keby to napísali lepšie, obmedzili to na 30% CPU a otvorene napísali, že tým užívatelia prispievajú na chod portálu, tak by z toho bublina ani nebola.
Sám som nad takým projektom rozmýšľal, že užívatelia budú platiť za obsah svojim strojovým časom.
Mne skôr príde, že ako vlastník zariadenia na ktorom to chcú spúšťať často bez jeho vedomia zaplatí viac za elektrinu ako oni zarobia.
Je to JS v prehliadači, už zo samej podstaty som v strate pretože moderné CPU sa pri nízkej záťaži podtaktuje (zníži frekvenciu) alebo vypne jadrá, RAM tiež vypne bloky nepoužívanej pamäte, zvýši sa teplota a tým sa zníži životnosť, zvýši sa hluk ventilátora, alebo sa zariadenie rozpáli tak že to človek neudrží, nerozlišuje to či používam zariadenie na batériu (zníži životnosť batérie, rýchlejšie ju vybije, tj obmedzí ma).
Ako daná stránka zistí, že podobného minera (ale od inej služby) si uź nejaká stránka spustila a teda mi ich bude bežať viac ? Mali by to začať riešiť prehliadače a sprístupniť nejaké API na registráciu takýchto aktivít alebo mi mali integrovať miner v efektívnejšej forme a ponúknuť ho miesto neefektívneho JS ?
Prehliadače nebudú zo s svojej podstaty ochranovať pred útokom XSS, veď by stratili sponzorov.
Mna by len zaujímalo kedy bude ten skript hosťovaný priamo na responzívnej stránke že by na to neplatilo rozlíšenie typu noscript.
Zaplatenie priamym príkazom zaťažuje užívateľov, spaľovanie el. energie je pohodlné.
Efektivita nemusí byť až tak malá.
Keby samozrejme prehliadače podporovali túto funkciu natívne a mohol by si si to na niektorých stránkach povoliť, tak to by bolo fajn.
Tu už prestáva sranda. V javascripte je veľmi ľahké napísať povedzme keylogger, ktorý by odchytával prihlasovacie údaje. Preto som voči rôznym reklamám brutálne pranoidný a uznávam maximálne tak reklamu vo forme obrázkov (nie js).
Tak keď si vypnem JavaScript, koľko tvojich stránok čo si za posledné roky robil s MVC frameworkami uvidím v prehliadači?
Nejak sa zabudlo, že keď niekde prídeš potrebuješ obsah a je mi jedno že to bude plain text, keď tam bude to čo hľadám.
Vo FireFoxe a určite aj v iných prehliadačoch sa XSS dá vypnúť, no defaultne je to zapnuté aby reklamy ...
Koľko z tých frameworkov ktoré používaš ma backdoors? Dnes je bežné mať MVC framework, node.js, React, Bowl a ďalšie pičoviny na správu verzií, závislostí atď. Kto v tom zreviduje kód? Backdoor, tam môže byť aj nechtiac zabudnutý, to sa už milionkrát stalo, keď sa niečo testuje aby sa obišli práva a podobne.
Mňa našťastie nemá kto nútiť aby som podobné deravé pichoviny používal.
Takže začni od seba a zlepši web :)
Za posledné roky som nerobil žiaden web v MVC frameworku a bez js fungujú všetky.
OK, mal so dojem že robíš profesionálne stránky (ber to s humorom). Napr. aj LinuxOS mi ostane v nekonečnej slučke podľa toho čo vidím v antiXe, Google Analitics vyhodnotí ako "bordel", takže sa stránka nikdy nečíta a krúti sa tam to koliečko do nekonečna, teda po hrozne dlhom čase to zmizne (timeout). antiX ten bordel blokuje by default.
Načo máme ešte túto spyware srajdu na webe?
Analýzu webu som si napísal za jeden deň, vyhoď tú pichovinu, nepotrebujeme tu zdržovať užívateľov zbytočnými vecami.
Nečítam sračky, netrápi. Dobre, že to nebolo niekde inde, to by zase zamestnanci tejto sračky mali plné huby sračiek.
Teraz si zober, že ten denník je de facto vlastnený firmou Eset. Je aj na stránke Esetu nejaký malvér? Neviem, nechodím tam.
DenníkN mám rád, mám predplatné a nestretol som sa so žiadnym špeciálnym vyťažením. Možné je samozrejme všeličo. Používam blokovač reklám
Ak sa naozaj zobrazujú reklamy aj po zaplatení predplatného, tak to krásne poukazuje na právnickú osobu ktorá svojou chamtivosťou dala ťažiť tie kryptomince.
Tak to rieši aj sme.sk Po zaplateni predplatného si pýtajú zaplatiť ešte aj za to aby ťa neotravovala reklama.
o čom hovoríš? nemám tam reklamy
Tak potom nepotrebuješ hovoriť že používaš blokovanie reklám. No, akosi.
No ja ano.
Ked sa k tomu dostanem tak ti spravim screen. Ono asi zalezi aj aky druh predplatneho mas.
Je dosť možné, že autori sú oslobodení od reklamy aj bez predplatného.
No napríklad dcéra mi hovorí, že prečo blokujem reklamy, že autori z toho žijú. Tak sa na to mrknem a antiX to blokuje by default na sieťovej vrstve. Proste reklamy vidím, ale nedošlo mi že ich je menej :)
Tak si hovorím odinštalujem antiX blocker, ale nechal som to tak, slušné reklamy to neblokuje.
Teraz ti trochu pomastím brucho, je škoda že by default je vo FireFoxe povolený XSS, ale dá sa to vypnúť, ja viem je to kvôli príjmu z reklám, no nepokladám to za správne. Reklamy fakt nepotrebujú JavaScript.
Sklamem tvoju dcéru. Z reklamy nežijú autori. Kedysi z reklamy žili redakcie a poskytovatelia, a na autorov sa dostal len mizivý zlomok. Viem o čom hovorím.
Sklamem aj teba. FF a ani iné prehliadače nemajú povolený XSS útok kvôli reklamám. Ten XSS útok je povolený kvôli sledovaniu užívateľov. Tlačenie reklám bez zamerania na cieľovú skupinu nebolo nikdy účinné. A kategorizácia cieľovej skupiny bez jej sledovania je nemožná.
Vitaj v reálnom svete, a zmier sa zo stratou súkromia ktoré máš garantované v ústave (Druhá hlava, druhý oddiel, článok 16, odsek 1). Ale dobrovoľne sa toho práva môžeš vzdať, napríklad dobrovoľným zverejňovaním súkromia na FB a podobných modernostiach. Alebo v reklame Denníka N.
Jasne že cielená reklama potrebuje sledovanie užívateľa, sám som hádzal na iný portál ako ma na Windowse (bohužiaľ sa mu v práci nevyhnem) našli a ponúkali mi tričká KERNEL ULTRAS z Číny. Keď zabudnem že nás číňani fejkovali, je zaujímavé kde to sledovanie až zájde.
Ústavu poznám a bránim sa ňou, aj kolegyňa ma nasrala keď mi otvorila poštu, no nechal som to tak, lebo sa začala tváriť dostatočne milo :) Je neskutočné, že keď niekomu ukážeš vytlačené stránky z ústavy a že za jej porušenie môže skončiť vo vezení, tak predtým o tom ani netuší.
Väzenie, rád si pozriem právny rozbor. Smelo do toho. Skús povedať kde je napísaných niekoľko rokov.
Ak ti čítala kolegyña poštu s firemnou adresou, tak závisí len na svojvôli sudcu či to bude klasifikovať ako poštové tajomstvo, alebo výrobný nástroj aj s jeho kontrolou voči zneužitiu.
Keď je na obálke meno, hoci s firemnou adresou, bolo by otázne, či porušila ústavné právo, na listové tajomstvo, alebo obchodné právo o zneužívaní informácií.
Obchodné právo o zneužívaní informácií. Ešte trošku pridaj.
Typický Slovák, dala ti zľavu(na úsmev) a nechal si to tak :)
Ona sa vyprsila, a on prestal prskať. To ale platí na celom svete.
ak niekto napíše, že má rád denníkN, je to ako by napísal, že je kretén bez živej mozgovej bunky.