Bạn có biết rằng có một số trang web hiện nay lợi dụng máy tính của người truy cập để đào tiền ảo (mọi người vẫn thường hiểu là đào Bitcoin) ? Chúng tôi đã tìm hiểu hơn 175 triệu website trong danh sách của mình để làm rõ vấn đề này .

Sau đây tôi sẽ giải thích ngắn gọn về cơ chế hoạt động của một mã độc như trên một cách đơn giản dễ hiểu nhất cho bạn đọc.

Tiền ảo là phần thưởng cho quá trình giải mã các phép toán phức tạp bởi máy tính, quá trình giải mã các phép toán đó được gọi là quá trình “đào tiền ảo”. Các thợ đào tiền sử dụng máy tính có cấu hình cao để đào tiền ảo.Việc đào tiền ảo cần rất nhiều năng lượng để có thể thực hiện vì thế kinh phí bỏ ra để có thể xây dụng một máy tính để đào tiền và công suất các máy này là rất lớn nên sẽ rất tốn điện.

Thay vì phải bỏ ra số tiền lớn để vận hành một máy đào tiền ảo, nhiều trang web đã bị cài đặt các mã độc, các mã độc này sẽ chiếm quyền để lợi dụng các máy truy cập trang web để đào tiền ảo, điều này sẽ chiếm tài nguyên máy trái phép gây nặng máy và ngốn một nguồn điện không nhỏ trong máy của bạn.

Ngoài số một số trang web được cài đặt sẵn từ chủ sở hữu trang web đó, có một số bị các tin tặc tấn công và cài đặt mã độc vào mã nguồn của trang.

Hôm nay hãy cùng chúng tôi tìm hiểu về vấn đề đang rất hot này. Có bao nhiêu trang web có mã độc, và trong số đó có lượng truy cập đủ lớn để  có thể kiếm được một khoản đáng kể.

Theo Nghiên cứu

Với số lượng 175,251,729 trang web trong cơ sở dữ liệu của mình chúng tôi đã tiến hành thu thập thông tin để xem có mã độc đào tiền ảo trong mã nguồn của nó, đồng thời các tên miền phụ của web cũng được phân tích để cho cái nhìn tổng quan nhất.

Để phát hiện các đoạn mã độc được ẩn trong mã nguồn của trang web chúng tôi sử dụng Wappalyzer: một tiện ích addon cho phép khai thác các ngôn ngữ lập trình, công nghệ được sử dụng trên trang web, tiện ích này cho phép phát hiện các hệ thống quản lý nội dung, frameworks của web, phần mềm máy chủ, các công cụ phân tích..Wappalyzer có thể phát hiện 14 loại mã độc đào tiền ảo phổ biến hiện nay như: Coinhive Crypto-Loot, JSECoin, ProjectPoi… v.v

Kết quả

Trong hơn 175 triệu chúng tôi đã tìm thấy 23,872 tên miền đang chạy với các mã độc đào tiền ảo ẩn trong mã nguồn, chỉ chiếm 0.0136 % trong số đó, điều này cũng có nghĩa là cứ có 7,353 trang web thì sẽ có 1 trang web có mã độc kia.

Trong số đó Coinhive là mã được sử dụng nhiều nhất, chiếm 93.82% ~ 22,396 web trong tổng số 23,872 web.

Để có thể biết chi tiết hơn về vấn đề này chúng ta phải nhìn sâu vào các số liệu đã thu được dưới đây:

1. Số lượt tìm kiếm các trang web trên nhận được mỗi tháng

Dưới đây là bảng thống kê lưu lượng tìm kiếm hàng tháng của các trang web trên ( theo Ahrefs ):

Đây không phải là lưu lượng truy cập trong một tháng mà nó chỉ tính riêng lượt tìm kiếm từ google mà các trang web đó nhận được. Có thể thấy rằng gần 91% các website có mã độc đào tiền ảo ước tính chỉ có chưa đến 50 lượt tìm kiếm từ google mỗi tháng, một con số không quá nhiều. Qua đó có thể thấy hầu hết các trang web có mã độc trên có thể chỉ nhận được rất ít lượt truy cập mỗi tháng.

Một số lí do phỏng đoán tại sao các trang web có mã độc lại có ít lượt truy cập như vậy :

• Một số website đã bị bỏ không có thể đã bị hack: Có rất nhiều trang web được lập nên trong một phút ngẫu hứng nên sau đó rất nhanh chóng chúng sẽ bỏ hoang không có cập nhật gì cả, những website đó không bao giờ có thể thu hút được một lượng lưu lượng truy cập lớn cả. CMS, theme và plugin sẽ không bao giờ được cập nhật, điều này sẽ dẫn tới các lỗ hổng bảo mật nghiêm trọng khiến cho trang web dễ dàng bị tấn công chiếm quyền truy cập mã nguồn để cài mã độc. Tuy chỉ với vài lượt truy cập một tháng từ mỗi web, nhưng với hàng ngàn web như vậy thì lượng tiền có thể đào được sẽ là rất nhiều. Nhưng đó chỉ là giả thuyết không có gì kiểm chứng rằng có bao nhiêu trang web bị bỏ hoang và bị tấn công như vậy.
• Sẽ không đáng khi đánh đổi một trang web có lưu lượng truy cập lớn: Giả sử bạn có một trang web với hàng tấn lưu lượng tìm kiếm hàng tháng, sẽ không bao giờ bạn đánh đổi nó chỉ vì một số tiền ảo không đáng kể. Ngoài ra, đã từng có tin đồn rằng Google sẽ khóa những website nào có mã độc đào tiền ảo trong Chrome (một trình duyệt chiếm tới ~58% thị phần của Google). Vì vậy sẽ không có ai sẽ đánh đổi một trang web lớn với nguy cơ bị mất cao để đổi lại lợi nhuận thấp như vậy cả.

 

2. Sự phân phối của các trang web trên trong Domain rating (DR), có bao nhiều trong số đó xếp trong hạng 100k của Ahrefs

DR hay domain rating là những số liệu của riêng Ahrefs cho thấy xếp hạng của tổng số backlink của một trang web ( về cả quy mô và chất lượng của nó), đo theo thang từ 0 đến 100.

Về cơ bản, nếu một trang web có DR cao tức là có rất nhiều backlink, có nghĩa là theo đó chúng ta có thể biết được trang web đó có phổ biến hay không.

Dưới đây tỉ lệ phân bổ của các trang web có mã độc theo Chỉ số DR:

Bảng xếp hạng của Ahrefs.

Nếu bạn chưa biết bảng xếp hạng Ahrefs là gì thì hãy tưởng tượng bạn lấy toàn bộ các website trên thế giới sau đó sắp xếp chúng theo thứ tự về “kích cỡ” và chất lượng của backlink (về cơ bản là theo chỉ số DR), bạn sẽ có bảng xếp hạng Ahrefs. Như vậy, trang web đứng thứ nhất sẽ có chất lượng  và kích cỡ của backlink tốt nhất thứ 2 sẽ ít hơn một tí và thứ 3 sẽ ít hơn tí nữa..v.v

Điều này có nghĩa là những website với xếp hạng Ahrefs nhỏ hơn hoặc bằng 100k sẽ nằm trong hạng 0.00058% trong số toàn bộ các website trên thế giới. Hay nói cách khác, với mỗi website với xếp hạng Ahrefs nhỏ hơn 100k sẽ có 1751 web với xếp hạng Ahrefs lớn hơn 100k.

Qua tìm hiểu chúng tôi đã tìm thấy 220 trang web có thứ hạng lớn hơn 100k được cài đặt mã độc đào tiền ảo. Nói cách khác, cứ 1 trong 108 web trong đó thì có một web sẽ chạy mã độc.  Điều đó có nghĩa là hơn 99% tên miền có mã độc sẽ có thứ hạng lớn hơn 100k trong bảng xếp hạng. Một con số rất nhỏ trong tổng số web.

3. Sự phân bố các trang web trên theo đuôi tên miền

Để làm rõ sự phân bố các website có mã độc theo tên miền ta có một biểu đồ tròn như sau:

Ta có thể thấy được phần lớn các trang web đó thuộc tên miền .com,tên miền .ru của nga có hơi nhỉnh hơn một chút nhưng các tên miền khác chiếm khá ít, không đáng kể.

Còn đây là bảng xếp hạng của Ahrefs:

Chúng tôi đã phân tích cả các tên miền trong số các trang web được tìm thấy có dính mã độc và và cả trong tổng số các tên miền trong cơ sở dữ liệu của chúng tôi ở trên đây. Từ đó các bạn có thể thấy rõ được các đặc điểm và xu hướng cũng như sự khác nhau giữa chúng để có thể có một cái nhìn tổng quan nhất.

4. Bao nhiêu trong số đó thuộc về các “service root domain” ?

Nói ngắn gọn “service root domain” là các tên miền mà ở đó ai cũng có thể chạy thêm một tên miền phụ và đặt một số nội dung ở đó, vì vậy Ahrefs khi thu thập thông tin sẽ coi chúng như các trang web độc lập.

Để minh họa chúng tôi lấy hai tên miền là typad.com và sethgodin.typepad.com.

Công cụ thu thập dữ liệu của Ahrefs coi chúng như hai tên miền riêng không liên quan đến nhau.

Dưới đây là các chỉ số của mỗi tên miền:

• com (DR 83; xếp hạng Ahrefs: 69.944)
• typepad.com (DR86;xếp hạng Ahrefs 3.605)

Sethgodin.type.com là một miền phụ được đóng góp nội dụng bởi người dùng và vì thế chúng tôi coi nó hoàn toàn khác với typepad.com.

Điều này cũng đúng với các miền phụ khác của typepad.com (ví dụ như mygreatblog.typepad.com).

Theo nghiên cứu trong số đó những web có mã độc thì có 1308 thuộc về các service root domain này, chiếm ~5.48% trên tổng số các web

Một điều thú vị là, tất cả 1308 trường hợp trong đó thuộc về 6 “service root domain” sau :

• jp: 1 trường hợp;
• blogspot.com: 1,257 trường hợp;
• canalblog.com: 2 trường hợp;
• squarespace.com: 1 trường hợp;
• us.com: 1 trường hợp;
• weebly.com: 1 trường hợp;

 

Như bạn có thể thấy 1,257 trong số 23,872 (~5.27%) tên miền đều đến từ blogspot.com.

Các nghiên cứu tương tự.

Có thể các bạn đã từng thấy các nghiên cứu khác giống với nghiên cứu của chúng tôi với các số liệu khác nhua. Bởi vì có rất nhiều bên cũng tham gia nghiên cứu về vấn đề tương tự.

Một ví dụ điển hình là Troy Mursch từ Bad Packets Report cũng đã thực hiện một nghiên cứu tương tự vừa qua – Anh ấy đã tìm thấy có  hơn 43k website có mã độc đào tiền ảo, dù chỉ thực hiện tìm kiếm các mã độc như Coinhive, Crypto-Loot, Coinlmp, Minr, và deepMiner

Nhưng tại sao Troy lại có thể tìm thấy hơn 43k trang trong khi chúng tôi chỉ thấy 23k

Có thể do một số lí do sau đây:

Do nguồn dữ liệu khác nhau.

Để có thể thực hiện nghiên cứu, chúng tôi sử dụng cơ sở dữ liệu của mình, Bad Packets Report nghiên cứu theo cơ cở dữ liệu của publicwww, và cơ sở dữ liệu của publicWWW có nhiều hơn đến 17.5% cơ sở dữ liệu của chúng tôi.

Có thể bạn đang thắc mắc tại sao cơ sở dữ liệu của publicWWW lại có thể lớn hơn cơ sở của chúng tôi trong khi Ahrefs có ngành công nghiệp dữ liệu dẫn đầu ?

Lí do rất đơn giản: Chúng tôi khá chọn lọc những trang web trong cơ sở dữ liệu của mình

Rất cảm ơn Troy đã chia sẽ dữ liệu với chúng tôi. Chúng tôi đã nghiên cứu dữ liệu đó và nhận ra rằng trình thu thập thông tin của chúng tôi đã bỏ qua nhiều tên miền.

Nhiều tên miền đã không được thêm vào cơ sở dữ liệu vì chất lượng của chúng khá thấp.Vì vậy, tôi đoán khi bạn xem xét thực tế là hầu hết các trang web mà chúng tôi xác định đang chạy mã độc đào tiền ảo đều có lưu lượng truy cập thấp và DR thấp, điều này khá có lý rằng nghiên cứu của chúng tôi, khi chúng tôi chỉ sử dụng dữ liệu của mình chắc chắn sẽ tìm thấy ít trường hợp hơn.

Ngoài ra còn có một số lí do tại sao lại có sự khác biệt đến như vậy1. Cơ sở dữ liệu của public WWW có sử dụng những dữ liệu từ lâu, trong khi đó chúng tôi thu thập các dữ liệu mới của mình để sử dụng cho nghiên cứu này và dữ liệu của chúng tôi luôn được cập nhật.2. Wappalyzer kiểm tra rất kĩ để xác định xem một trang web có các mã độc không vì nó thực hiện kiểm tra trực tiếp mã nguồn của trang web nên có rất ít hoặc sẽ không có sai sót nào trong quá trình nghiên cứu

Điều này không có nghĩa là nghiên cứu của chũng tôi tốt hơn của Troy ( hay của bất kì tổ chức hay cá nhân khác ). Chúng tôi chỉ muốn chỉ ra sự khác biệt giữa các nghiên cứu để chứng minh cho các kết quả của mình.

Tổng kết

23,872 trang web thoạt nhìn có vẻ khá nhiều nhưng so với số lượng toàn bộ các trang web trên thế giới thì đó vẫn là một con số rất khiêm tốn. Xấp xỉ 175 triệu trang web trong danh sách của mình nhưng con số đó vẫn là không đủ để có thể miêu tả được số lượng trang web khổng lồ khắp toàn cầu, và dù nếu toàn bộ các web chỉ có nhiều như vậy, thì vẫn sẽ chỉ có 1 trên mỗi 7353 trang web có chạy mã độc đào tiền ảo một con số không đáng để chúng ta phải lo lắng cho lắm.

Bạn có thấy các bài viết trên thú vị ?

Hãy cho chúng tôi biết ở dưới comment.

Nguồn: Tim Soulo từ  Ahrefs.com/blog