Albert Heijn-actiepagina en andere sites bevatten coinminer in cookiescript

Een actiepagina van Albert Heijn bevat een miningscript waarmee de cpu van bezoekers wordt gebruikt voor coinmining. De boosdoener is een cookiescript dat ook aanwezig blijkt te zijn op andere websites, waaronder Nederlandse sites.

De code op de Albert Heijn-pagina voor een kerstactie werd opgemerkt door een oplettende tweaker. Verder onderzoek door Tweakers samen met beveiligingsonderzoeker Willem de Groot wijst uit dat de code op de site in een cookiescript van de dienst cookiescript.info zit, waar gebruikers een cookiemelding met toestemmingsvraag kunnen aanmaken. Volgens De Groot maken 243 sites van die code gebruik, waaronder glow.nl en pegasusinternet.nl.

Hij zegt: "Ik denk niet dat de dienst van het cookiescript de code er zelf heeft ingezet, anders hadden ze niet bij DigitalOcean gehost. Dat zet een server bij misbruik meteen uit, dus als je zelf een server kiest dan zou je eerder voor een bulletproof hoster gaan." Kwaadwillenden maken meestal gebruik van kleinere en minder bekende hostingpartijen. Bij de coinminer in kwestie gaat het om Crypto-Loot, die zich als alternatief voor Coinhive aanprijst. Bij een bezoek aan een van de sites met de desbetreffende code gaat de cpu-belasting van het systeem van de bezoeker naar honderd procent, zonder dat er een waarschuwing wordt getoond. Dit levert de verantwoordelijke partij uiteindelijk de cryptovaluta Monero op.

Volgens De Groot komt Crypto-Loot niet veel voor, maar hij stelt dat dit kan veranderen doordat Coinhive inmiddels op veel plaatsen wordt geblokkeerd. De onderzoeker kwam de id waaraan de miningactiviteit is verbonden, niet op andere plekken tegen. Soms is aan de hand van een id een grotere campagne in beeld te brengen. Hij acht het mogelijk dat degenen achter de huidige miner bij cookiescript-info binnen zijn gekomen en de miner hebben geplaatst. Er zijn geen indicaties dat Albert Heijn zelf is gehackt.

Coinmining via de browser nam een vlucht nadat Coinhive een JavaScript-tool daarvoor geïntroduceerd had. Veel partijen kopieerden de techniek en bieden hun eigen variant aan, waarbij vaak geen toestemming wordt gevraagd. De Groot trof Coinhive-code onlangs aan op 2500 webwinkels. Tweakers wijdde een uitgebreider artikel aan het verschijnsel, ook wel bekend als cryptojacking. Een woordvoerder van Albert Heijn kon nog niet direct reageren op vragen van Tweakers.

Update, 14:30: Een woordvoerder van Albert Heijn laat aan Tweakers weten dat de pagina in kwestie inmiddels offline is gehaald en dat er 'hard wordt gewerkt aan een oplossing'. De pagina moet zo snel mogelijk weer beschikbaar zijn. Over de oorzaak wil de woordvoerder niets zeggen, omdat 'er met meerdere partijen contact is om de oorzaak te onderzoeken'. Daarom bleef de vraag hoe lang de pagina op deze manier online heeft gestaan vooralsnog onbeantwoord. Het feit dat de coinminer aanwezig was, was een totale verrassing, aldus de woordvoerder.

Update, 16:36: De beheerder van de overige Nederlandse pagina's zegt dat deze inmiddels eveneens zijn aangepast.

Reacties (305)

Ik had het al eens eerder aangegeven, maar voor degene die het (nog) niet gezien hebben: zo kun je je er tegen beschermen:

Voor degene die net zoals ik geen extra extensie willen installeren: Je kan ook een filter toevoegen aan je AdblockPlus-extensie. Dat moet zo: Ga naar de instellingen van AdblockPlus > Ga naar het tabje "Eigen filters toevoegen" > Vul het volgende in: coin-hive.com/lib/coinhive.min.js > "Filter toevoegen".

Je kunt ook een filterabonnement toevoegen. Direct-link voor het toevoegen (even copy/pasten in je URL-balk): abp:subscribe?location=ht...r/nocoin.txt&title=NoCoin
Bronnen:

• https://adblockplus.org/blog/kicking-out-cryptojack
• https://adblockplus.org/subscriptions#type_other

In uBlock Origin is een Resource abuse filter ingebouwd. Je kan hem aan/uitzetten met het vinkje voor dashboard > 3rd-party filters > uBlock filters – Resource abuse.

Als je wél een extensie wilt, kan je die hier downloaden: https://chrome.google.com...l=nl&_category=extensions

EDIT: Ik kan bevestigen dat de code op de pagina niet meer aanwezig is en dus succesvol wordt geblokkeerd. Nogmaals: doordat hij de code blokkeert als je één van de bovenstaande methodes probeert, is 'ie dus niet meer aanwezig op jouw systeem (omdat hij geblokkeerd wordt) .

[Reactie gewijzigd door AnonymousWP op 14 november 2017 10:52]

Of installeer Pi-Hole (sorry tweakers.net)
En denk niet dat je daar een RB pi voor nodig hebt, je kan het ook draaien op je Synology NAS. Doe ik zelf ook en ik zie nergens meer reclame op mijn hele netwerk (dus ook telefoons en tablets).. Geweldig!
https://pi-hole.net/

En hoe je het op je NAS installeerd (zo makkelijk, zelfs ik kon het)
https://discourse.pi-hole...ole-on-a-synology-nas/289

[Reactie gewijzigd door procyon op 13 november 2017 12:55]

Mocht je een Intel cpu in je Synology NAS hebben, dan kun je pi-hole zonder chroot e.d. ook configureren, gewoon via een te downloaden container (ik gebruik daarvoor het image: diginc-pi-hole). Verder heb ik op dezelfde manier ook nzbget en sickrage als docker-container op mijn nas draaien. Dat scheelt best een boel geconfigureer. pm me als je er niet uit komt.

Of je gebruikt gewoon een alternatieve DNS.
waar de ADS al direct worden gefilterd.

Je kan beter een DNS server pakken die niet filtert en het zelf regelen zoals hierboven gesuggereerd.

Ten eerste geef je al je DNS queries uithanden, dus alle internet sites die je benadert komen bij die partij. Het is een amerikaans bedrijf en valt dus onder de amerikaanse wetgeving. Lees hun privacy policy eens. Doen ze aan logging bijvoorbeeld?

https://dns.watch/

Uncensored, no logging, full anonimity.

Blok je ads en andere zooi zelf, dan weet je wat je blokt en kan je er iets aan doen als het niet goed is.

Je punt is accuraat. Het alternatief wat je stelt is echter geen verbetering. Je struikelt over de privacy policy van adguard, maar dns.watch heeft geen eens een privacy policy. Ze hebben zelfs geen terms of service.

Uit de footer haal ik dat het ontwikkeld is door ideal-hosting.com. Daarvan is het SSL certificaat terug getrokken (http://ssllabs.com/ssltes...=ideal-hosting.com&latest) en de github pagina is niet meer functioneel (https://github.com/ideal-hosting).

Een uncensored, no logging claim is leuk. Maar als ze dit niet kunnen onderbouwen is het niet veel waard.

DNS.watch staat los van hun hosting provider dus wat daar mis gaat heeft geen betrekking op DNS Watch.

Verder heeft DNS watch een privacy policy: hun homepage. Wat wil je nog meer? EEn linkje naar een Privacy policy met 50 pagina's aan text door lawyers opgesteld? Dat is jou meer waard?

Hun home page is hun belofte. Als ze niet doen wat daar staat kan je niets meer vertrouwen en helpt 50 pagina's aan bullshit je ook niet verder.

Sorry maar als je zoekt naar fouten zul je ze vinden. je moet ergens iets vertrouwen en dan pak ik persoonlijk liever een no-nonsense no-bullshit 3-regels belofte dan een grote partij met 100 advocaten in dienst die mij 50 pagina's onbegrijpelijke text voorschotelen.

Boerenverstand: Gratis diensten bestaan niet.
Zij zullen hun kosten ergens mee moeten betalen. Als jij niets betaalt ben jijzelf het product.

Dus alle gratis, open source software is niet echt gratis? Alle gratis diensten zijn slecht?

Ze accepteren ook donaties, daar komen ook inkomsten vandaan en waarschijnlijk doen ze nog andere dingen waar ze inkomsten uit halen en dit mee bekostigd kan worden.

Dat het niet helemaal perfect is dat geloof ik ook wel. Ik vind persoonlijk privacy wel een puntje maar in vergelijking met 8.8.8.8 en 8.8.4.4 wat bijna iedereen gebruikt zal het eerder beter zijn dan bij Google want de belangen staan namelijk haaks op elkaar. Ik ben hier al een tijdje zoekende naar en ik gebruik thuis ook Untangle. Het eerste scenario was gewoon google DNS gebruiken en de AD / Blocker blocker van Untangle aanzetten. Dit gaf problemen omdat Untangle DNSBL (Black Listed) compatible DNS servers wil gebruiken. De Ziggo ISP DNS is dat niet en ik heb geen goed performende DNSBLs kunnen vinden. Ik denk dat dat de beste optie is. Untangle met DNSBL + ADS block + SpamBlock. Ik ga DNSWatch ook eens gebruiken.

Lees ik jou post verkeerd of denk jij dat 8.8.8.8 en 8.8.4.4 niet door Google gebruikt worden?

Neem dan een DNS relay service of o.i.d. of meteen de root servers waar ook Google en alle andere uiteindelijk naar verwijzen

Maar dan toch, voor, eigenlijk tegen spam gebruik ik Spamhaus, DNSBL en consorten maar dat is hoofdzakelijk voor mail.
Website reclame tegengaan gaat erg goed met PiHole. Heel mooi stukje software:-)

't is dat het opensource is anders had een spamboer ze al opgekocht.

Dat heeft helemaal niets met security te maken en je punt ontgaat me volledig.

Geen enkele DNS provider kan een government blok ontwijken aangezien dit een uitspraak is opgelegd door een rechter waar je gewoon aan moet voldoen, ongeacht hoeveel fancy IP addressen je ook moge hebben.

adguard laat 50% van de ads, malware etc.. door

ik zag hier ook iemand openDNS vernoemen, openDNS kan gratis een paar domeinen blokkeren,
je moet ze 1 per 1 invoeren en met de betaalde versie heb je nog steeds limieten waar je niet omheen kan

om je een idee te geven ik draai een dnsmasq DNS server met 140.000 malware, ads, tracker domeinen
elke dag kom ik er nog wel enkele pop-ups tegen of een advertisement of een malware pagina.

plus ik heb meer controle over mijn netwerk en aparaten, ik kan domein queries bekijken, opvangen en hun requests bekijken. tot zelfs de data dat er verstuurd word naar een specifiek domein

om je blocklists te testen heel simpel ga eens naar enkele pirate bay mirrors, als er 20 vensters openspringen en ads tevoorschijn komen zoals bij adguard dan weet je al genoeg.

Ik heb Pi-Hole geprobeerd maar daardoor stopt Spotify met werken (de zoek functie gaat stuk) en heb me best gedaan om het werkend te krijgen maar dat is me niet gelukt.

https://discourse.pi-hole...fy-work-using-pi-hole/255

WoW, bedankt. Ik heb denk ik gezocht met een ui want ik heb dit destijds niet kunnen vinden. Dit was de enige reden dat ik Pi-Hole weg had gedaan, dat word weer Pi-Hole installeren.

Klopt, dat wordt met de standaard lijsten per ongeluk ook geblacklist. Is makkelijk te fixen hoor.
-Gebruik de zoekfunctie van spotify
-Log daarna in op je Pihole - ga naar query log. Even door je pagina's bladeren, maar dan zie je vanzelf een geblocked domain waar met de tekst spotify erin. Die whitelist je.

Even je internetverbinding verversen en klaar is kees.

Dat Pi-Hole is nog weer wat anders / beter dan uBlock + een addon als decentraleyes?
(even los van het feit dat dit dan op al je devices op je netwerk werkt - wat natuurlijk tof is)

[Reactie gewijzigd door xs4me op 13 november 2017 15:15]

Veel beter dan decentraleyes want alle CDN's zitten erin en word bij gehouden als er nieuwe zijn. komt je er zelf een tegen kan je hem er ook zelf weer inzetten.

Whitlisten of blacklisten:-)

Ik heb 't geïnstalleerd en draaiend op m'n Synology.

Maar ik zie alleen geen enkele queries of requests in de Pi-Hole admin?

Je zegt dat 't wordt bijgehouden, moet je dat zelf doen dmv pihole updates of gaat 't m.b.t. die database automatisch? Ik zie wel een update lists bij tools, moet ik die dan soms rammen? Kan dat niet automatisch?

[Reactie gewijzigd door xs4me op 13 november 2017 22:36]

je moet af en toe zelf de lijsten updaten. Ze zijn er mee bezig om dat ook te automatiseren maar daar ben ik geen voorstander van.

BTW welke queries bedoel je, want zonder in te loggen zie het het dashboard en daar staan de queries van de laaste 24 uur

Ja onder tools staat een regel updat lists daar kan je op rammen, toch jou pc :-).

Als je andere zaken wil wilt updaten gaat dat lastig, zeker de eerste keer. SSH staat standaard uit tegenwoordig op RPI dus moet je hem lokaal aan je pc hangen om dat aan te passen daarna kan je hem remote (meterkast naast je router o.i.d) updaten met de commando regel. zowel de interface als de FTL. Su6

je moet af en toe zelf de lijsten updaten. Ze zijn er mee bezig om dat ook te automatiseren maar daar ben ik geen voorstander van.

Ow? Is juist ideaal toch? Ik zou zeggen, maak het dan instelbaar, aan of uit, net wat je wilt.

BTW welke queries bedoel je, want zonder in te loggen zie het het dashboard en daar staan de queries van de laaste 24 uur

Ja, dat ik hier dus niks in zie gebeuren. Alles is en blijft op 0, met alleen hoeveel domeinen er op de blocklist staan. En dit terwijl ads wel degelijk geblocked worden.

Edit: Ik ben niet de enige met dit probleem zie ik. Ik lees er veel over. Ga wel ff puzzelen.

Als je andere zaken wil wilt updaten gaat dat lastig, zeker de eerste keer. SSH staat standaard uit tegenwoordig op RPI

Gaat op de synology vrij makkelijk gelukkig

Thanks

[Reactie gewijzigd door xs4me op 13 november 2017 16:18]

Automatisch een vergissing binnenkrijgen? iedereen maakt fouten.

Voor updaten klik op "update lists", daarna een balk met "update lists" klikken en dan pas zou je een rapportje moeten krijgen.

BTW ik weet niet of de synology versie gelijk is aan de raspberry versie

[Reactie gewijzigd door Bardman01 op 13 november 2017 16:21]

Het installeren van Pi-Hole zelf is natuurlijk niet voldoende, hoe ik dit weet? Nou omdat ik momenteel ook gebruik maak van Pi-Hole op m'n Synology en wanneer ik de AH website bezoek zie ik gelijk een stijging in het CPU gebruik dankzij de cryptominer.

Toevallig had ik ook nog een lijst voor uBlock Origin geïmporteerd waar "crypto-loot.com^$third-party" al sinds oktober in staat. Maar vreemd genoeg blokkeert het cryptoloot vooralsnog niet.

[Reactie gewijzigd door Indir op 13 november 2017 15:28]

Deze staan erin: lijsten vorige week geüpdatet
::: /etc/pihole/list.0.raw.githubusercontent.com.domains (7 results)
0.0.0.0 cryptokopf.de
# JS based cryptocurrency mining sites
0.0.0.0 crypto-loot.com
0.0.0.0 cryptonight.wasm
0.0.0.0 cryptocoinjs.com
0.0.0.0 www.cryptocoinjs.com
0.0.0.0 www.crypto-loot.com


::: /etc/pihole/list.preEventHorizon (7 results)
cryptoassetfunding.com
cryptocoinjs.com
cryptokopf.de
crypto-loot.com
cryptonight.wasm
www.cryptocoinjs.com
www.crypto-loot.co


Pi-hole Version v3.1.4 Web Interface Version v3.1 FTL Version v2.11.1

Als je een server hebt draaien maak dan zet je hem in je forwarders list. Valt ie uit dan heb merk je dat er ineens weer veel reklame is . Op een router heb je vaak niet zoveel entries voor dat soort zaken.

Nadeel is wel dat een hoop sites dan niet meer fatsoenlijk werken of je moet weer een lijst gaan bijhouden met uitzonderingen.

Dat is dus precies de reden dat internet eigenlijk niet geschikt is voor de gemiddelde mens.
Dingen zijn in de praktijk vaak veel complexer dan mensen op eerste gezicht aannemen. Dat iets gewoon moet werken is al zo'n aanname.
Dat iets werkt is vaak niet gewoon maar een samenspel van veel technische zaken, en als daar iets van verkeerd gaat werkt het niet. Of het werkt anders.
Daar moet je mee om weten te gaan of in ieder geval bewust van zijn om zaken te laten werken zoals je graag hebt.

kortom, pas de technologie aan aan jou, of pas je aan aan de technologie. Stilzitten en wensen helpt niet.

Mooie discussie kan dit worden, waar niemand gelijk heeft. Ik vind ook dat mensen met een medium als internet en met name veiligheid op internet een deel eigen verantwoordelijkheid moeten hebben en nemen. Dat is vergelijkbaar met autorijden. Om veilig auto te rijden moet je weten wat de regels zijn en weten wat veilig weggedrag is. Wat is een gepaste snelheid gezien de omstandigheden, etc. Daar heeft de maatschappij tientallen jaren aan kunnen wennen en er zijn regels, examens en (rij)bewijzen gekomen. Bewijs van kundigheid.
Dat mist "het internet". Idealiter zou er een inteenetbewijs moeten komen. Anderzijds zou internet ook beter gereguleerd moeten worden. Deze fratsen met een coinminer zijn een goed voorbeeld waarom regulering benodigd is. Lastig met een grensoverschrijdend open medium... Echter mensen met weinig technische affiniteit kunnen ook veilig deelnemen aan het verkeer in een auto, en zouden dat ook veilig moeten kunnen op internet.

Je zegt het zelf al; die mensen hebben eerst een rijbewijs moeten halen - ze hebben eerst moeten leren hoe verkeerstechnisch veilig door het verkeer te gaan.
Wil je dat niet, dan kan je lopen of de bus nemen (uitbesteden).

Je auto in goede conditie houden is hetzelfde; je duikt in het diepe en leert hoe en doe het zelf, of je besteed het uit aan een garage.

Er hoeft echt geen internetbewijs te komen. Da's alleen maar bureaucratie en een reden voor de overheid om je geld af te nemen. Mensen hoeven zich enkel te realiseren dat om iets te kunnen je er wat moeite in moet steken, en dat de meeste zaken niet zo simpel zijn als ze zich op het eerste gezicht voorstellen.

Effin, je hebt gelijk, een hele discussie

Staan deze scripts al in de standaard lijsten? Of moet ik een miner-lijst toevoegen?

Nooit geweten dat Pi-hole ook gewoon kon draaien op een Synology NAS. Weer wat geleerd!

Als aanvulling op Pi-Hole, hierbij een lijst met urls die coins minen:
https://github.com/hoshsadiq/adblock-nocoin-list

Welke hosts list zitten de domains dan in die geblokkeerd moeten worden specifiek voor deze cryptohacking?

Sorry overheengelezen ....
https://github.com/hoshsadiq/adblock-nocoin-list

[Reactie gewijzigd door mjl op 14 november 2017 00:29]

Aangezien het alleen een DNS server is duren hooguit je DNS queries wat langer, maar dat zal verwaarloosbaar zijn.
De snelheid van downloads, gaming e.d. is ongewijzigd.

Het is een caching dns server en mijn ervaring is dat het daar juist sneller van wordt. En een goede upstream dns server kiezen helpt ook wel trouwens. Eentje kiezen met namebench kan daarbij helpen.

kleine toevoeging
grc heeft hier ook een programma voor.

[Reactie gewijzigd door JohnKarma op 13 november 2017 15:18]

Wordt alleen maar sneller, een hoop meuk hoeft ie niet te laden.

Hij heeft het natuurlijk over de capaciteit van het netwerk. Ga ik wel 500 mbit halen die ik bij KPN afneem als ik er een pi tussen hang?

[Reactie gewijzigd door watercoolertje op 13 november 2017 13:26]

Het verkeer loopt niet via je pi, de pi fungeert alleen als DNS server.Jij tikt google.nl in, en je pi komt met het goede ip. Je zoekt addomein.com in, en je krijgt een 127.0.0.1 ip terug (en haalt op de daadwerkelijke addomein.com niets op).

Wilde net coin-hive.com toevoegen maar die bleek al in 1 van de blocklists (die zichzelf updaten) te staan :-)

Ja ik heb 3 min gewacht met op "plaats reactie" klikken.

Je kan in pi-hole via de admin interface domeinen whitelisten. Je kan alleen niet zoals in adblockers wel kan (meen ik) bijv op tweakers.net alle ads toelaten (aangezien je ze blokkeert op ad netwerk en niet op basis vanaf welke site ze worden ingeladen).

Je kan alleen niet zoals in adblockers wel kan (meen ik) bijv op tweakers.net alle ads toelaten (aangezien je ze blokkeert op ad netwerk en niet op basis vanaf welke site ze worden ingeladen).

Dat bedoelde ik dus, want ik wil Google ads op de ene site wel weg hebben en op de andere niet bijv. en dat gaat niet. Ik vind ads namelijk helemaal niet erg, maar ze moeten niet irritant geplaatst zijn of irritant van zichzelf zijn.

Het is gewoon een DNS server, het is niet zo dat heel je internetverkeer daarlangs gerouteerd wordt.

Heeft alleen te maken met dns requests niet met snelheid. Komt bij de je je eigen DNS servers kan gebruiken of de DNS servers die je nu al gebruikt.

En als je hem goed implementeert is je eigen netwerk meteen je fallback.

Wordt al in veel commerciële sites intern gebruikt omdat het veel netwerk capaciteit scheelt. Pi-hole is een toppertje, gaan veel reklame boeren een hekel aan krijgen.

Ik heb een verzoek bij ze ingediend om een versie die je meteen op je router kan installeren. heb je helemaal geen extra hardware meer nodig.
Maar ach een RPI gevoed door de router met een usb kabeltje van 10 CM een een netwerkkabeltje van 10 cm is dat toch niet echt slecht.

Offtopic, maar: beter gebruik je uBlock Origin ipv AdBlock Plus: http://www.independent.co...k-right-now-10264083.html

Edit: oh je noemt die al dus mijn filters waren dubbelop.

[Reactie gewijzigd door JapyDooge op 13 november 2017 12:53]

Ik weet niet of je doelt op het whitelisten van advertenties, maar op zo'n reactie zat ik al te wachten .

Dat is echt met 1 vinkje uit te zetten . Dat kan zo: AdblockPlus > "Opties" > "Enkele niet-opdringerige advertenties toestaan" uitvinken.

Dat is absoluut maar 1 vinkje uitzetten, maar het feit dat het opt-out is gaat mij al te ver

Dat betekent wel dat die gast achter Ublock beter te vertrouwen is dan het conglomeraat achter Adblock Plus, dat geld vraagt voor het doorlaten van advertenties (ook al kun je dat uitzetten) en meen ik een bedrijf erbij heeft gekocht dat anti-privacy-activiteiten onderneemt.

Daarnaast staat Ublock bekend als zuiniger en niet geheugen gebruikend. Het heeft ook nog eens meer functies (zoals het laden van externe lettertypen blokkeren, fijnmazige uitzonderingen kunnen instellen, enz.). En het is helemaal open source en vrij.

Kun je eens uitweiden waarom je een beter gevoel hebt bij APB, dan bij Ublock Origin. Ik ben oprecht benieuwd hoe iemand met kennis van beide, kan kiezen voor APB.

Ik krijg dit niet werkend in uBlock op Safari: Resource abuse is geen optie die er tussen staat. Dat blijkt ook uit de "activiteitenweergave" van Mac. Alle uBlock-filters staan verder wel aan. Heb je daar ook nog een oplossing voor?

Wellicht draai je een outdated versie van uBlock, of is die simpelweg nog niet beschikbaar. Wellicht dat je handmatig een aantal regels kan toevoegen.

Je had gelijk! Voor Safari gebruikers op de mac:

(1) Controleer dat je uBlock Origin draait (in plaats van uBlock). Zo niet, kan je hier de meest recente versie (1.14.14) downloaden en installeren.
(2) Bij instellingen --> third party filters --> Resource abuse filter kreeg ik het niet voor elkaar om de miner te blokkeren. Door de verschillende malware domains aan te vinken (Malvertising filter list by Disconnect​​​​​, Malware Domain List, Malware domains​, Malware filter list by Disconnect) is het wél gelukt om de miner te blokkeren.

Super, bedankt voor de info! Mijn Ublock pakte hem automatisch al, toen ik hem even uitzette ging mijn PC meteen full-pull haha.

AVG pakt hem hier ook! Onder andere Mobypicture heeft het ook op hun site staan..

EDIT: Ik kan bevestigen dat de code op de pagina niet meer aanwezig is en dus succesvol wordt geblokkeerd.

Hij wordt geblokkeerd ja, maar de code is nog wel aanwezig op dit moment.
Ook met standaardinstellingen blokkeerde uBlock Origins deze miner trouwens.

[Reactie gewijzigd door Xtuv op 13 november 2017 12:49]

Dat klopt, maar doordat hij de code blokkeert als je één van de bovenstaande methodes probeert, is 'ie dus niet meer aanwezig op jouw systeem (omdat hij geblokkeerd wordt) .

[Reactie gewijzigd door AnonymousWP op 13 november 2017 12:51]

Bedankt voor de erg nuttige aanvulling. Als sites hun eigen inhoud al niet meer controleren, is het al ver gekomen...

99% van sites controleert hun eigen (totale) inhoud niet. Er wordt gebruik gemaakt van externe scripts voor een hoop dingen die men niet zelf wenst te ontwikkelen, en daar is dus gebruik (mis?) van te maken. CDN's zijn prachtig voor hosten/distribueren van code en content, maar ook gevoelig voor dit gedoe dus.

Ik kan ook bevestigen dat de NoCoin additie werkt, maar de code op de AH site is nog niet veranderd

Ik heb m'n post even aangepast, omdat er blijkbaar nogal verwarring ontstaat. De code is nog wel op de pagina aanwezig, maar als je dus één van bovenstaande methodes uitvoert, wordt de code niet meer op jouw systeem geladen (in de browser).

Beide opties werken hier dus niet. Die eerste doet niets want ik heb nog steeds 99% CPU usage op de AH pagina en die tweede adp:subcribe... doet niets? Opent een zoeken naar de url?

Dat is opvallend. zojuist even getest met en zonder AdblockPlus en ik zie 85-90% aan load verschil.

Die tweede werkt inderdaad niet. Dan moet je dat hier even doen: https://adblockplus.org/subscriptions#type_other

Zelf net de link getest, het is nog wel aanwezig, maar Kaspersky blokeerde, de koppeling (en dus ook de scripts) gelijk.

Dit is de uitkomst van de AV log:
''13.11.2017 12.55.45 Download geblokkeerd https://cdn.cookiescript.info/libs/cookiescript.min.js Objectnaam: HEUR:Trojan.Script.Generic Object: https://cdn.cookiescript.info/libs/cookiescript.min.js Programma: Google Chrome Soort object: Trojan Tijd: 13-11-2017 12:55''

Zou het zo zijn dat Ahold en andere holdings nu hun sites zo hebben aangepast dat zij ook met de crypto valuta meegaan en dus de mining via hun klanten laten gaan, of zou het gaan om een hacker die een zwakke plek heeft gevonden en daardoor crypto coins kan minen door de bezoekers van de sites?

Nu lees ik ook dat de hostingdienst dit zelf kan inzetten. Dat lijkt mij dus niet echt goed, aangezien het dus ook kan gaan om een inside job (persoon werkt bij hostingdienst, schrijft een .js script, upload de script op verschillende sites en profiteerd van de mining). Volgende update voor AV en windows: waarschuwing als er via de browser de volle 100% CPU belasting is en dus niet bij een spel of software.

Lijkt mij zeer sterk dat Ahold dit bewust doet, lijkt mij een third-party die deze malware heeft toegevoegd (want dit soort cryptomining is gewoon malware).

Adguard blokkeert deze extensies automatisch

Ublock Origin heeft trouwens een ingebouwde filter genaamd "Resource abuse​​​​​". Bij mij stond hij al aan. Geen idee wanneer het is toegevoegd.

Het werkt inderdaad (in AdBlock moet je gewoon de link naar het .txt-bestand toevoegen aan je lijsten trouwens), maar de cryptoloot blijft wel verbinding zoeken elke X seconden, wat in principe natuurlijk ook resources kost.

Het script voor de miner zit trouwens in https://cdn.cookiescript.info/libs/cookiescript.min.js, dus je zal het niet vinden in de source van de AH-website, je moet daarvoor eerst doorklikken naar het .js-bestand.

Ik heb NoScript, dus het werkte ook niet bij mij. Pas toen ik het cookiescript.info script aanzette ging mijn CPU naar 100%. Het zit er dus nog steeds in.

Ik heb net gekeken en nog steeds zijn er aanvragen die constant worden gedaan naar crypto-loot.com.
Gelukkig blokkeert de extensie uBlock Origin de aanvragen.

"In uBlock Origin is een Resource abuse filter ingebouwd. Je kan hem aan/uitzetten met het vinkje voor dashboard > 3rd-party filters > uBlock filters – Resource abuse."

Deze is al standaard aan.

Sorry maar dan mijn tegen advies aan diegenen die wel coinhive willen blijven gebruiken op hun websites: kopieer gewoon dat bestandje en serve hem vanaf je eigen domein. Verander ook even de filenaam. Zo alle filters simpel omzeild.

Voor degenen die het niet snappen: dit is niet serieus bedoeld advies. Ga niet mensen hun CPU misbruiken voor sneaky gewin want je bent gewoon malware aan het maken en ik vermoed dat dit, als het al niet strafbaar is, dat snel gaat worden. Niet doen dus.

Maar simpelweg een domein blocken of op bestandsnaam filteren gaat natuurlijk niet werken mensen. Feit is dat dit heel erg lastig te blocken zal blijken. Want Javascript is gewoon code die op alle websites wordt gebruikt en je hoeft echt niet per se van de CDN gebruik te maken. Vervelende voor mij, als Javascript developer, is dat dit soort geintjes er altijd voor zorgen dat het lastiger wordt om mijn brave, niet mailcious code uit te voeren, omdat het kind nogal eens met het badwater weggegooid wordt.

Verder snap ik niet dat deze mensen, zoals zovelen voor hen, de fout hebben gemaakt om de CPU naar 100 procent te trekken. Bouw gewoon pauzes in zodat de CPU hoogstens naar 10 procent gaat, dan merkt namelijk niemand het...

Ik zie in ublock dat als je Resource abuse filter al aan hebt staan en je onderaan diezelfde pagina ook https://raw.githubusercon...in-list/master/nocoin.txt toevoegd, dat je als nog 7 extra domeinen blockeerd.

Zo ver naar mijn weten heb ik AH geen rechten gegeven om mijn computer af te builen, mag dit?

Staat er ergens in de wet dat dit niet mag ?

Artikel 138ab Wetboek van Strafrecht:

1. Met gevangenisstraf van ten hoogste twee jaren of geldboete van de vierde categorie wordt, als schuldig aan computervredebreuk, gestraft hij die opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk of in een deel daarvan.
[...]
3. Met gevangenisstraf van ten hoogste vier jaren of geldboete van de vierde categorie wordt gestraft computervredebreuk gepleegd door tussenkomst van een openbaar telecommunicatienetwerk, indien de dader vervolgens
a. met het oogmerk zichzelf of een ander wederrechtelijk te bevoordelen gebruik maakt van verwerkingscapaciteit van een geautomatiseerd werk;

In dit geval zal er bewezen moeten kunnen worden dat er opzettelijk en wederrechtelijk is binnengedrongen met als oogmerk wederrechtelijke bevoordeling.

[Reactie gewijzigd door donny007 op 13 november 2017 14:21]

AH kan zeggen "het was cookiescript.info" - ik neem aan dat die niet van AH zelf is. cookiescript.info kan zeggen "Het waren hackers". Ik weet nu niet of de beveiliging niet op orde hebben al strafbaar is. Mogelijk moeten ze het wel melden bij het meldpunt omtrent persoonsgegevens. Nu neem ik overigens ook aan dat een cookie-warning-provider geen persoonsgegevens bijhoudt.

Eigelijk zou je op internet een soort ketenaansprakelijkheidsregeling wet moeten hebben.
Hierdoor kan een website zich niet meer verschuilen achter een derde partij.
https://www.mkbservicedes...etenaansprakelijkheid.htm

Sowieso zou het onheus toe-eigenen van resources zoals de CPU strafbaar moeten zijn. Want reken maar dat er veel malware is die dit doet en zal vast niet de laatste keer zijn dat we hiervan horen.

Als een site mijn CPU gebruikt om de website te renderen, ok. Maar als hij sneaky extra werk gaat zitten doen voor eigen gewin zonder dit duidelijk te melden dan is dat gewoon misbruik. Maar ik vermoed dat dit helaas (nog) niet strafbaar is.

iemand anders z'n computer gebruiken voor jouw voordeel valt volgens mij onder computervredebreuk.. volgens mij zijn ze vast wel strafbaar te verklaren

Je kiest er zelf voor om bepaalde code uit te voeren, immers jouw lokale browser voert de code uit door naar die website te gaan. Juridisch nog best een interessante kwestie denk ik.

.. het verlengde van jouw redenatie is door het internet op te gaan je er zelf voor kiest om gehackt te kunnen worden.. je verbind namelijk met een machine met mogelijke vulnerabilities door zelf de stekker er in te stoppen of met wifi te verbinden... waar gaan we de grens trekken?

Het gaat hier om een bijproces wat op de code van de website draait, die wellicht niet voor de gebruiker nuttig is maar wel voor de website, dat is iets wezenlijk anders dan het plegen van computervredebreuk (hacken) wat reeds illegaal is. Als we alles gaan verbieden wat niet 1-op-1 bijdraagt aan het renderen van de website blijft er weinig over.

je probeert 't goed te praten, maar ik ben het er nog steeds niet mee eens... het is ongewenste code die niet op mijn PC hoort te draaien en naar mijn mening niet anders is dan hacken en er vervolgens code op draaien zonder medeweten van de eigenaar...

Dat je het er niet mee eens bent maakt het niet opeens juridisch verboden. Ik reageer op de stelling

Zo ver naar mijn weten heb ik AH geen rechten gegeven om mijn computer af te builen, mag dit?

Daarin is de mening van Cappie niet heel relevant. Dan gaat het om juridische feitelijkheden.

Dat zou dan idd betekenen, dat o.a albert heijn strafbaar waren.
Nu nog een advocaat en de kosten regelen en we kunnen per persoon aanklagen.

Nee, want enkel de dader is strafbaar. Albert Heijn is hoogstwaarschijnlijk niet zelf verantwoordelijk geweest voor het plaatsen van de coin-miner.

Let op, er staat:

Met gevangenisstraf van ten hoogste vier jaren of geldboete van de vierde categorie wordt gestraft computervredebreuk gepleegd door tussenkomst van een openbaar telecommunicatienetwerk, indien de dader vervolgens
a. met het oogmerk zichzelf of een ander wederrechtelijk te bevoordelen gebruik maakt van verwerkingscapaciteit van een geautomatiseerd werk;

Nou is die term 'computervredebreuk' nogal abstract... Maar als je vrijwillig een website bezoekt en deze draait JS code als onderdeel van de website, valt dit dan onder computervredebreuk?? Want AH heeft niet jouw PC gehacked.

Ik ben bang dat er feitelijk geen regels zijn overtreden door AH. Als cookieinfo idd gehacked is dan hebben die hackers wel de regels overtreden... maar als cookieinfo dit zelf gedaan heeft is het wellicht gewoon legaal. En AH valt denk ik sowieso juridisch niks te verwijten.

Enige wat ik kan bedenken is dat men code draait die misbruik maakt van de bronnen van het client systeem zonder dat hiervan melding wordt gemaakt... maar ja hoe definieer je misbruik... geldt dat dan ook voor tracking scripts, fingerprinting, ads en weet ik wat er allemaal niet draait dat feitelijk niet nodig is voor de technische werking van de website (maar wellicht wel voor de financiele werking... zie de ads op Tweakers.net).

Eerder werd er gelinkt naar http://wetten.overheid.nl...z=2016-07-01&g=2016-07-01 met de highlight dat jezelf verrijken met de rekenkracht van een ander niet toegestaan is; dit gaat dus om miners, maar ook bijv. die onderzoeksprojecten en dergelijke.

Inefficients / suboptimale code zal dan weer niet daaronder vallen. Het gaat in die wetgeving vooral om de achterliggende gedachte.

Jullie lezen dat toch anders dan ik... er staat dat computervredebreuk met als doel jezelf verrijken niet mag.

Oftewel, computervredebreuk, just for the lulz mag wel... en jezelf verrijken zonder computervredebreuk mag dus ook. Je moet én computervredebreuk plegen én jezelf ermee verrijken om onder die regel strafbaar te zijn. Zo lees ik het tenminste.

Als we alles gaan verbieden wat niet 1-op-1 bijdraagt aan het renderen van de website blijft er weinig over.

En laat dat nou net zijn wat de EU met de opkomende ePrivacy verordening van plan is.

Zowel het uitlezen van en schrijven vaar randapparatuur als het gebruiken van CPU tijd voor zij-doeleinden wordt onder die verordening zonder vrijelijk gegeven toestemming, illegaal. En de first-party -- d.w.z. de website die jij als consument bezoekt -- zal daar gewoon aansprakelijk voor zijn.

Het gaat ook over vrijelijk gegeven toestemming. Wanneer een dienst volledig afgeschermd wordt achter het geven van toestemming voor iets wat geen enkele relevantie heeft tot het hoofd-doeleinde van die dienst, dan wordt op die manier verkregen toestemming niet gezien als vrijelijk gegeven.

Dat gaat implementaties zoals de huidige 'cookie-muren' wettelijk impotent maken.

Daarnaast moet browser software gaan voorzien in maatregelen om keuzes van consumenten inzake advertenties, etc. geautomatiseerd aan websites kenbaar te maken en zijn websites gehouden deze te respecteren. (Dus niet continu door blijven zeuren om een bezoeker toch zover te krijgen.)

En daarnaast is het v.z.i.w. ook zo dat ad-blocking technologie gezien moet worden als een vorm van kenbaar maken van de voorkeur van een gebruiker, waardoor ad-blockers niet meer tegengewerkt of omzeild mogen gaan worden.

Kan ik het helemaal mee eens zijn, al doen veel overheids instanties en andere partijen je te laten geloven dat het geen anarchie is op internet en heel netjes beheerbaar. ....NOT.
Zelfs in China is er anarchie op internet, minder als hier maar het is er wel. En zal voorlopig wel zo blijven. Dus blijf voorzichtig op internet, altijd!

Er zijn veel slecht gemaakte websites die inefficiënt werken en dus relatief erg veel resources gebruiken. Wil je die ook verbieden?

In principe wel, maar hier gaat het gewoon om pure malware draaien op iemand zijn computer zonder toestemming.

Nee, dit mag niet. Een scriptje die niet nodig is, waar je geen toestemming voor hebt gegeven, en wel op jouw pc "geïnstalleerd" wordt, valt onder de cookiewet.

https://blog.iusmentis.co...0-preloads-tegen-te-gaan/

Het zal een doorschuivertje worden.

Echter wat ik kwalijker vind is dat site's welke ook DigiD gebruiken verplichten om derde party cookies aan te zetten, omdat ze zelf geen cookies beheren, maar daardoor je wel uiteindelijk de klos bent. Ik heb dit inmiddels een jaar+ geleden al twee keer bij digid aangekaart maar mag dan met hun bellen, als ik bel krijg ik een elke keer een persoon die niet weet waar het over gaat. Als hij na gesprek met een collega terug komt, een keer 12 minuten in wqcht stand, en die dan aan het einde van de rit zegt, is niet ons probleem, ligt bij de derde party welke digid gebruikt. Is niet mijn cup of tea eh cookie.
DigiD ging toch om de veiligheid??? Nu falende door een koekje.

Ik vraag me eigenlijk af in hoeverre dit ook kan gebeuren op je smart tv..

Neem aan dat als deze JS kan verwerken, het op een smart TV ook mogelijk is. Je haalt er enkel geen fluit uit, aangezien de hardware zo zwak is.

1 devices is misschien zwak, 100.000 zijn een stuk sterker.
Zoals vaker, is het aantal van belang ipv van die ene sterke device.

Precies, het "Chinese Lotery" concept uit de cryptografie.

Chrome kan het nog niet preventief tegenhouden, dus ik verwacht dat elk apparaat wat JavaScript of Java toestaat misbruikt kan worden. Apps zijn natuurlijk ook nog een mogelijkheid. Android monitort het gedrag van apps, maar het lijkt me onwaarschijnlijk dat de relatief kleine smart tv platformen het zelfde doen.
Kortom: het kan, maar er zijn op het ogenblik betere manieren om stiekem te mijnen dan op TVs.

Hang er een pc'tje voor heb je alles in de hand.

Het is wel super amateuristisch om een deel van je code van een vage externe partij in te laden, zeker als het een of andere gratis dienst is die geen enkele verplichting richting AH heeft om de dienst in de lucht te houden, te updaten en beveiligen, etc.

Nu is het een cryptominer, maar zo'n partij kan natuurlijk van alles in dat script stoppen.

Tsja, doe eens een refresh op tweakers.net met je adblock uit en je developer tools open..

Ik zie de volgende domeinen voorbij komen:
adservice.google.com
cm.g.doubleclick.net
dev.visualweboptimizer.com
fonts.googleapis.com
googleads.g.doubleclick.net
pagead2.googlesyndication.com
sb.scorecardresearch.com
securepubads.g.doubleclick.net
ssum-sec.casalemedia.com
stats.g.doubleclick.net
tpc.googlesyndication.com
www.google-analytics.com
www.google.com
www.google.nl
www.googletagservices.com

En dan nog een aantal domeinen en subdomeinen van Tweakers.net zelf.

Dat zullen partijen zijn waar T.net direct of indirect (via ad provider) een contract mee heeft.

Punt blijft dat het externe diensten zijn, die malicious code kunnen injecten.

Veel er van zijn ook advertentiediensten, en juist op die manier komt er veel troep binnen.

Punt blijft dat het externe diensten zijn, die malicious code kunnen injecten.

Klopt, maar dat vang je af met contracten, boeteclausules, etc.

Nadruk op "vage externe partij". Het gaat er om dat het een partij is die AH kent en kan vertrouwen, ipv gewoon een willekeurige website die een developer gevonden heeft als 1e hit op Google. Het gaat er om dat dit AH garanties heeft van die partij over de beschikbaarheid van hun dienst, dat ze geen rare dingen uithalen, etc. Of het dan wel of niet betaald is doet er niet direct toe.

Domeinen != scripts (al geldt dat wellicht enkel voor die fonts)

Wat denk je dat al die domeinen inladen, fietsbanden?

Dit gaat in bijna alle gevallen om javascript.

Wel jammer dat je als abonnee ook nog steeds enkele van deze requests voor je kiezen krijgt.

Namelijk google-analytics, visualwebsiteoptimizer en scorecardresearch.

Gelukkig heb ik ook uBlock Origin

Je kan gelukkig wel bij veel diensten tegenwoordig een opt-out doen:
http://optout.networkadvertising.org/#!/

Wel even je adblock uitzetten op die pagina

Ik heb ze niet allemaal nageken maar ze staan in pi-hole:-)

Als je DNSCrypt even aanzet, en dan je console opent, zie je 2x zoveel queries, met iets meer info. Tis eigenlijk ongelooflijk hoeveel crap er wel niet gebruikt wordt voor de gemiddelde website.

Ik ben het met je eens dat het een stuk beperkter en lastiger gaat worden, maar aan de andere kant is het ook idioot hoeveel javascript er in gebruik is voor dingen die prima serverside kunnen en/of met CSS.

Dat is weer een ander verhaal, maarja, serverside kost jou als developer knaken in verbruik, aan de clientside kost het je niets. Javascript gebruiken om je site interactief te maken heb ik geen problemen mee, javascript op deze malware manier te gebruiken mag wat mij betreft keihard afgestraft worden. Als je dit nodig hebt om geld te verdienen met je website, dan wordt het tijd om maar wat anders te gaan doen.

Alles wat aan de client zijjde kan je ook server based doen alleen heb je dan meer computing power nodig aan de server zijde maar dat is toch niet het probleem van de consument?

Alles wat aan de client zijjde kan je ook server based doen alleen heb je dan meer computing power nodig aan de server zijde maar dat is toch niet het probleem van de consument?

Alles?
Geintje zeker.

Er zijn aardig wat legitieme toepassingen te vinden die je echt niet degelijk server-side voor elkaar zult kunnen krijgen. Al was het maar vanwege de enorm toegenomen responstijden.

Wil jij bijv. echt als gebruiker nog een tabje in een tabbed set wisselen als dat op je mobiele connectie 2 à 3 seconden roundtripp tijd kost? Elke keer weer?
En hoe ga jij datum-invoer bewerkstelligen? 2 à 3 seconden roundtrippen, elke keer als de gebruiker op een knopje gedrukt heeft in je kalender widget?

Etc. etc.

[Reactie gewijzigd door R4gnax op 13 november 2017 21:15]

Reclame is natuurlijk visueler en storender, maar ergens ben ik niet-tegen het idee dat ik wat computercapiciteit lever voor het bekijken van een 'gratis' service. Misschien dat ik daar best bereid toe zou zijn.

Hoever zouden we überhaupt afstaan van een wereld waarin we betalen met rekencapaciteit?

Het bizarre is dat dat eigenlijk al gebeurt, alleen dan op een manier die nog niet eens nutttig is. Driedubbel over elkaar heen buitelende advertenties vreten al heel veel performance. Vroeger gebruikte je een oude pc 'om nog wat te internetten'. Nu is internetten van standaard gebruik zo'n beetje het zwaarst denkbare. Veel zwaarder dan bijvoorbeeld een word documentje tikken of zoiets.

Hopelijk ver! De hoeveelheid energie die gebruikt wordt voor cryptovaluta is absurd (enkel Bitcoin gebruikt al meer dan IJsland). Aangezien de mine opbrengst per tijd constant is, maar iedereen een groter deel van de taart wil hebben, gaat de electriciteitsconsumptie per eenheid dus enkel omhoog.

waar leg je de grens? dadelijk gaan dan alle sites dit doen, dus zit je alsnog aan de 100% als je wat tabs open hebt staan.. nee dankje, dan liever die irritante visuele reclames..

Ik heb het net even getest op de website van AH. De cpu load schommelt tussen de 15 - 25%. Eén van de 4 cores wordt behoorlijk belast. Als ik de AH tab sluit, met nog zo'n 30 anders tabs open, dan zakt de cpu load naar 2 - 5%.

Toch vind ik zo'n coinminer, mits de gebruiker er toestemming voor geeft, een goed alternatief voor die bizar slechte Google advertenties bij met bijbehorende tracking en privacy schendingen. Ik zou eerder toestemming geven voor een coinminer dan m'n adblocker uitzetten.

Ik moet er niet aan denken dat straks al mijn tabs 10% CPU gaan opslurpen waardoor mijn stroomrekening daadwerkelijk significant hoger wordt, dan heb ik zelf liever het veel indirectere tracken, waar je niet direct met meerkosten wordt opgezadeld.

Dat blokkeert Chrome dan weer, elke tab die non-actief is mag helemaal niet zo veel verbruiken via javascript Elke x seconden krijgt een non-actief tabblad een credit wat staat voor x load, dat hebben ze gedaan zodat tabbladen die non-actief zijn praktisch niks meer kunnen verbruiken.

Als er dus 1 tabblad is (het wel actieve) die 10% weg pakt, is het toch niet zo heel erg?

* Met nonactief bedoel ik een tabblad wat niet geselecteerd is en/of minimized

EDIT: Nog niet helemaal zoals ik omschreef maar dat is waar ze naartoe willen blijkbaar:
https://blog.chromium.org...ower-consumption-for.html

[Reactie gewijzigd door watercoolertje op 13 november 2017 13:54]

Nou ja het is ook gewoon heel inefficiënt gebruik van resources, dus nee ik zie liever een andere manier van afrekening, ben daarom wel voor het fatsoenlijke ads-alternatief waar de normale websites mee willen komen.

Sommige ads zijn ook behoorlijk zwaar, het is / was niet zeldzaam dat 1 advertentie op een pagina een paar keer zo zwaar was dan de rest.

En jij dat er geen tracking bij die coinminers inbegrepen zit? think again.

Als ik ublock uitzet gaat bij mij de cpu load ook naar 100%.

Dus ublock aan, 15 - 25% load. Ublock uit, 100% load. AH tab sluiten, 2 - 5% load. Ook doet m'n pihole blijkbaar (nog) niets tegen deze coinminer.

Ondanks dat AH de code niet zelf op de site heeft gezet zijn ze natuurlijk wel verantwoordelijk voor de inhoud van de site.

https://www.lukkien.com/nl/ heeft de site gebouwd

Dan nog blijft AH verantwoordelijk voor de inhoud van de site richting hun bezoekers.

Zeker, maar ik verwacht wel dat AH een pittig gesprek met de bouwers zal voeren (dat zou ik doen tenminste ). Het technische werk van het bouwen van een site wordt waarschijnlijk 100% uitbesteed en dan verwacht je niet dat dit soort ongein op de achtergrond wordt geïmplementeerd.

Een ongelukkig gevalletje van HAMSTERUUU

[Reactie gewijzigd door AJediIAm op 13 november 2017 13:05]

Ik heb hier aangegeven dat ik een voorstander ben van deze methode van alternatieve inkomsten (ipv bijv. ads), omdat je met een paar procent belasting op de GPU theoretisch meer zou kunnen verdienen dan je premium model, per jaar. Maar dit is gewoon volle bak 100% op de CPU. Smeriger kan het niet.

Jammer, want dit gaat de methode permanent beschadigen.

Ik ben hier helemaal geen voorstander van, en zeker niet zonder toestemming van de gebruiker.

Het is maar hoe je het ziet, ik vind gebruik van mijn resources die de boel kunnen vertragen niet acceptabel, dan liever gewoon wat ads (images) op de pagina.

Waar komt die (images) precies vandaan? Wat wil je er mee zeggen? De images zijn in de meeste gevallen het probleem niet. Het probleem is dat websites via third-party hosting ads afnemen en daarvoor een vergoeding krijgen. Daarbij geven ze de security op die advertentie scripts uit handen en het is de laatste jaren veelvuldig voor gekomen dat tienduizenden machines op 1 dag werden geïnfecteerd met mal of cryptoware. Voor de duidelijkheid; Je hoeft de advertentie niet te klikken om dergelijke malware op je machine te krijgen, die wordt uitgevoerd op het moment dat de advertentie wordt getoond.

Daarnaast zijn het vaak volledige animaties, met volledige geluids-en-lichteffecten.

Tot slot; Het alternatief in de vorm van mining kan werken onder twee voorwaarden:
- Het script is in beheer van de betreffende website.
- Het script neemt maximaal een procent in en houd in prioriteit rekening met andere prioriteiten op de machine.

In dat scenario houd je rekening met de prestaties van de werkplek en neem je verantwoordelijkheid voor de scripts die worden gedraaid. Als er niet wordt voldaan aan die twee voorwaarden, gaat mining als alternatief gewoon weer de prullenbak in.

Ik zat precies hetzelfde te denken. Kijk naar de WebGL (GPU-acceleration) implementatie van deeplearn.js, die doet bijna niet onder voor CUDA/OpenCL. Met maar een paar procent van de GPU zou je hier zelfs meer winst mee kunnen maken dan met 100% CPU

Wordt het niet gewoon tijd dat browsers ook eens in de gaten gaan houden dat onderdelen van ingeladen websites teveel CPU gebruiken? Gewoon een statusbar met een melding tonen, en daarnaast een knopje zodat je de verantwoordelijke functie kan killen.

Als Edge, Chrome, Firefox en Safari dit nu eens inbouwen, dan is dat coin-minen zo afgelopen is de CPU-cycles verspilling zo afgelopen.

[Reactie gewijzigd door AW_Bos op 13 november 2017 13:45]

Want? Ik vind het een valide manier om geld te verdienen met je website, mits je het gewoon aangeeft. Wat AH hier doet is natuurlijk buiten hun schuld om en "crimineel", maar als je zo ipv advertenties geld wil verdienen, be my guest.

[Reactie gewijzigd door Vaal op 13 november 2017 13:41]

Het feit gaat dat de CPU onnodig te veel belasten heeft, en daar mag de gebruiker best wel van op de hoogte gesteld worden. Dit kan zelfs leiden tot prestatieverlies van de computer.

Ik doel niet specifiek op het 'valide geld verdienen'. Al zou je dit willen, dan kan je die beveiliging toch uitzetten? Ik heb mijn post hierboven er inmiddels op aangepast. Ik dacht eerst dat het illegaal was, maar nu jij zegt dat het gewoon toegestaan is, dat maakt het weer anders .

[Reactie gewijzigd door AW_Bos op 13 november 2017 13:45]

In principe is het natuurlijk niet illegaal, je "steelt" niks en er is verder bijzonder weinig wetgeving rondom het internet. Als jij met je website iets unieks biedt (spelletje, informatie, video, whatever) en je wil geld verdienen zonder dat je ads plaatst (die iedereen tegenwoordig blocked) is dit een optie.

Idd, 100% cpu gebruiken is teveel en je moet de gebruiker altijd informeren dat je het uberhaupt doet.

je "steelt" niks

Hoezo 'je steelt niks' ?
Je steelt resources van de computer waar het op draait en je steelt energie die die computer voedt.

en je moet de gebruiker altijd informeren dat je het uberhaupt doet.

Alleen gebeurt dit niet. Het is dus compleet de bedoeling dit zo genieppig mogelijk te doen.
Waarschijnlijk omdat je deze praktijken als stelen kunt zien.

Ik vind het GEEN valide manier om geld te verdienen met je website, je moet daar expliciet toestemming voor gaan vragen of de gebruiker dit wel wilt. En inprincipe valt dit gewoon onder de noemer van malware, en dat is wel degelijk illegaal.
Wil je geld verdienen met je website, dan doe je dat maar op andere manieren dan dit soort walgelijke achterbakse manieren.

Mijn iPhone SE verliest 1% batterij per 10 sec als ik glow.nl bezoek (in Chrome).

Hier is de open directory: https://cdn.cookiescript.info/libs/ . Je kan zien dat enkel het minified JavaScript bestand is aangepast op 7 november. De niet minified versie bevat geen miner.

Hij zegt: "Ik denk niet dat de dienst van het cookiescript de code er zelf heeft ingezet, anders hadden ze niet bij DigitalOcean gehost."

Er is ook een "cookiescript.min.original.js" zonder de Monero miner. Dus volgens mij is het de website niet gehacked maar een doelbewuste actie van de developer. Een hacker zou zoveel sporen niet nalaten.

Cookiescript.info is trouwens een onbekende kleine Cookie script aanbieder. Sowieso heel vaag. Er staat in diezelfde directory nog trouwens een vreemd script om de Google Analytics ID van een website op te vragen en door te sluizen naar StatCounter.com
https://cdn.cookiescript.info/libs/detect_ga_2.js

[Reactie gewijzigd door biglia op 13 november 2017 13:11]

Ik denk dat de aanwezigheid van een original bestand niet aantoont of het bewust door de developer is gedaan of door een hacker.

https://cdn.cookiescript.info/libs/cookiescript.js, lijkt de miner ook niet te bevatten, en de https://cdn.cookiescript.info/libs/cookiescript.original.js ook niet. Alsof het bij het minify/uglyfy actie is gebeurd.

In https://cdn.cookiescript....kiescript.min.original.js ook niet. Dat is dus het origineel minified bestand.

In de HTML van cookiescript.info staat trouwens dit:

<meta name="author" content="cookie-consent.org">

Volgens mij heeft die website dus nog onder een andere domeinnaam bestaan. Als je die domeinnaam "cookie-consent.org" op Google zoekt, krijg je allerlei meldingen over malware:
- https://www.reddit.com/r/..._injecting_malware_links/
- http://phishlist.com/cookie-consent-org/

Dus het is niet de eerste keer dat de eigenaar dit doet. Zijn vorige domein werd geblacklist, waardoor hij nu onder een nieuwe naam begint.