Apparu à la mi-septembre, Coinhive s'est très vite répandu un peu partout sur le web, en promettant des revenus faciles aux sites (voir notre analyse). Le principe : miner une crypto-monnaie dans le navigateur des internautes via JavaScript. Malheureusement, la plupart des intégrations sont menées sans prévenir le visiteur, voire cachées au sein de publicités.
Selon l'éditeur d'antivirus Trend Micro, l'activité du mineur a connu un pic le 24 janvier, avec une hausse de 285 % de l'accès à cinq domaines considérés comme malveillants. Un autre mineur (privé) serait aussi exploité.
L'entreprise affirme les avoir détectés en Espagne, France, Italie, au Japon et à Taïwan. Google serait prévenue de cette diffusion via sa régie DoubleClick, dont la popularité expliquerait pour bonne part cette large diffusion.
Dans le cas de Coinhive, le réglage du minage est agressif, avec une utilisation de 80 % de la puissance du processeur, ce qui peut rapidement causer des ralentissements. Pour se protéger, Trend Micro recommande de désactiver JavaScript. Un choix qui n'est pas évident aujourd'hui, tant de nombreux sites exigent ces scripts pour fonctionner correctement.
Commentaires (7)
#1
“Trend Micro recommande de désactiver JavaScript”
Je ne sais pas si c’est un troll ou juste de l’incompétence total.
Javascript est utilisé par quasi tout les sites, worst idea ever….
#2
La prudence et la sécurité sont pour certain supérieur à la notion de confort.
#3
Retour au web de 1999
#4
Si on pouvait virer Javascript, ou le réserver à certaines pages qui en ont vraiment besoin, le web se porterait mieux. Aujourd’hui on l’utilise pour faire cuire un œuf et c’est pénible. Tu ne peux juste plus aller sur le web avec une machine qui n’a pas 1GB de ram minimum alors qu’à une époque on avait même pas 256MB.
Bon après les mecs ont sûrement dit ça car l’alternative c’est installer un bloqueur de pub, et c’était peut-être pas politiquement correct de recommander aux gens d’installer ublock…
#5
Doubleclick n’est pas un script externe?
Il suffit de bloquer les scripts hors du domaine, non?
#6
Bien-sur qu’on peut désactiver le javascript.
Il suffit d’utiliser l’extension Firefox nommée no$script et de refuser les scripts qui ne sont pas hebergés par le site qu’on visite.
Par exemple, NXI utilise core.unit-sense.net . Bim, du balai!
Autre exemple, lefigaro utilise adns.com, chartbeat.com, googletagmanager.com, cedexis.com, outbrain.com, etc. Bim, ça dégage!
Votre CPU vous remerciera.
#7
Sur mobile, je surfe sans JavaScript (il est désactivé par défaut), sauf sur certains sites autorisés manuellement (c’est pénible à activer dans Chrome, ça limite d’autant la liste). Ça a changé ma vie : j’en étais arrivé à cette démarche, car je n’arrivais plus du tout à accéder aux sites, qui profitaient du JavaScript pour m’inonder de publicités intrusives, voire hackées.
Certes, depuis, je ne peux plus accéder à bon nombre de sites (la majorité ?), dont certains vont jusqu’à bloquer sciemment le contenu avec des règles CSS d’obstruction (message “Activez JavaScript” sur fond opaque, par dessus toute la page, affichée sans aucun souci, juste cachée) que JavaScript désactive (le JavaScript cache le message).
Les sites qui passent sans JavaScript activé sont d’une impressionnante rapidité de chargement et d’un confort d’usage désormais perdu. Ceux auxquels je tiens vraiment et qui réclament du JavaScript pour certaines fonctionnalités de base sur liste blanche. Car oui, il faut bien l’avouer, certaines fonctionnalités web à forte valeur ajoutée ont besoin de scripts dynamiques.
Point amusant : sans JavaScript, l’écrasante majorité des pages AMP (“optimisées” pour mobiles) sont inaccessibles. Je bascule alors en version “ordinateur de bureau”, toujours sans JavaScript activé, et, miracle, le site se charge rapidement, et le contenu est parfaitement lisible. Tout au plus, il me suffit de tapoter le corps de l’article pour zoomer sur celui-ci.
En fait, j’en suis arrivé à la conclusion que non seulement on peut se passer de contenu pour faire un site web lisible et ergonomique, mais que JavaScript est majoritairement employé pour gêner le visiteur.