Android用戶小心偷渡式挖礦新手法，趁你進行CAPTCHA圖像驗證時偷挖

網路安全業者Malwarebytes發現一惡意廣告，可將Android用戶導向挖礦網站，並趁著使用者解決CAPTCHA圖像驗證問題之際，讓Android裝置火力全開地挖礦。

此一惡意廣告是在去年11月現身，駭客可能將惡意廣告置放於合法網站或嵌入行動程式中，以將使用者導至挖礦網站，當Android用戶連至挖礦網站時，首頁會跳出警告訊息，宣稱使用者裝置出現可疑的瀏覽行為（下圖，來源：Malwarebytes），要求使用者解決CAPTCHA問題以證明自己並非機器人，還坦白說明在輸入驗證碼之際，會利用使用者的裝置資源來挖掘門羅幣（Monero），以支付機器人流量所衍生的伺服器成本。

這些挖礦網站利用Android裝置進行挖礦的行為會在使用者解決CAPTCHA問題並按下「繼續」之後結束，然後即連結到其實根本不需要驗證的Google首頁。

根據Malwarebytes的調查，至少有5個挖礦網站與該惡意程式有關，逾9成的流量來自於行動裝置，單日造訪人次總計為80萬，平均停留時間為4分鐘，以10 Hash/s的ARM處理器採礦效能來計算，估計駭客一個月約進帳數千美元。

研究人員表示，縱使行動裝置的能力不如桌面裝置，但聚沙成塔的力量是它受到駭客垂青的主因；建議行動裝置用戶也應部署安全機制，以避免裝置資源遭到綁架，甚至造成裝置的永久性損害。