Eine Geschichte einer angekündigten Krise. The Pirate Bay stellte das Web auf den Kopf mit seinem Test zur Kryptominierung zur Entfernung von Werbung, aber das ist nur die Spitze des Eisbergs. Innerhalb weniger Stunden tauchten spezielle Lösungen auf, deren Ziel es ist, Miner auf Seiten und Diensten zu unterbrechen. Doch die „Ich auch“-Mechanik führte dazu, dass sie in Erweiterungen für Google Chrome auftauchten. Der erste Fall ist SafeBrowse, das vor der Entdeckung über 140.000 Nutzer hatte.
Stellen wir uns ein Programm oder einen Dienst mit Hunderttausenden von Nutzern vor... oder warum nicht Millionen. Jedes Maß an Popularität wird durch guten Support, eingehaltene Versprechen und Vertrauen aufgebaut. Genau dann entscheiden sich einige Entwickler, dieses Vertrauen ein wenig zu ihren Gunsten zu 'biegen', und das geht nach hinten los. Der auf Coinhive basierende Test von The Pirate Bay sorgte für Aufsehen, nicht weil die Website eine alternative Finanzierungsmethode sucht, sondern weil sie ihre Nutzer nie konsultierte. Nun, da die Situation sozusagen 'bereinigt' ist, sind die Meinungen etwas geteilter, aber das gilt nur für The Pirate Bay. Von Anfang an wussten wir, dass es nur eine Frage der Zeit war, bis JavaScript-Miner sich vermehren und heute ist SafeBrowse an der Reihe.
Im Grunde haben wir es mit dem ersten dokumentierten Fall einer Chrome-Erweiterung mit integriertem Kryptominer zu tun. Mit über 140.000 Nutzern ließen die Berichte über eine hohe CPU-Auslastung nicht lange auf sich warten. Die Leute von BleepingComputer erhielten eine Kopie der Erweiterung (die betroffene Version ist 3.2.25), sahen sich ihren Code an, und dort tauchen mehrere Verweise auf Coinhive auf. Auf einem Computer mit einem Core-i5-Prozessor verbrauchte der Miner im Durchschnitt 61 Prozent der verfügbaren Ressourcen, mit Spitzenwerten von bis zu 100 Prozent. Nachdem die Erweiterung entfernt wurde, kehrte das Verhalten von Chrome in Bezug auf den Prozessor zur Normalität zurück.
Was sagen die Entwickler von SafeBrowse? Dass die Erweiterung seit Monaten kein Update erhalten hat und dass das Vorhandensein des Miners das Werk eines Angriffs ist. Andererseits ist ihre Vorgeschichte nicht gerade günstig: SafeBrowse hat sich bereits im November 2015 befleckt, als eine Gruppe von Forschern Tracking-Funktionen entdeckte, die ohne Zustimmung der Nutzer arbeiteten. Google schnitt das Übel an der Wurzel ab und entfernte SafeBrowse aus dem Store, aber wenn es so einfach ist, bösartigen Code in Chrome-Erweiterungen einzuschleusen, muss es viel tiefgreifendere Änderungen vornehmen.
