PC & Internet Kryptomining auf Serienfans.org & Filmfans.org entdeckt

Vorsicht vor Kryptomining: Serienfans.org und Filmfans.org nutzen heimlich KryptoMiner

Die Websites Serienfans.org und Filmfans.org setzen hinter den Kulissen bei den PCs der Besucher einen KryptoMiner ein.
Die CUII hat im September 2023 die beiden Download-Seiten gesperrt, wodurch sie nur noch über einen Proxy oder VPN erreichbar sind.
Beim Besuch der Seiten kann die Auslastung der Grafikkarte stark ansteigen, was sich durch die erhöhte Lüfteraktivität bemerkbar macht.

Kryptomining geschickt getarnt

Die Seitenbetreiber verwenden derzeit ein JavaScript mit Obfuscation, um das Kryptomining geschickt zu verschleiern.
Die bösartigen Skripts befinden sich in den Dateien moviefans.js für filmfans.org und serienfans.js für serienfans.org.
Diese JavaScript-Dateien sind relativ groß: 885KB für Serienfans und 982KB für Filmfans.org.

Serienfans.org strebt nach Gewinnmaximierung

Der JavaScript-Code kann im Detail eingesehen werden, wobei derzeit nur NANO-Antivirus das bösartige JavaScript als solches erkennt.
Die Entscheidung der Betreiber von Serienfans/Filmfans, auf Kosten der Nutzer Gewinne zu maximieren, wird durch die Auslastung der Grafikkarte deutlich.
Es wird dringend davon abgeraten, diese Seiten zu besuchen, in der Hoffnung, dass die Betreiber dieses "Feature" bald deaktivieren werden.

Hintergrundinformationen

SerienFans.org wurde vor vier Jahren ins Leben gerufen, nachdem Unstimmigkeiten mit Serienjunkies.org aufgetreten waren.
Die Uploader gründeten ihr eigenes Download-Portal aufgrund von Problemen mit dem Sharehoster, dem FileCrypter und der langsamen Entwicklung des Content Management Systems von Serienjunkies.org. Filmfans.org bietet DL-Links für Spielfilme an.

Serienjunkies.org wurde ebenfalls von der CUII gesperrt.
Als einer der ältesten deutschsprachigen Anlaufpunkte im digitalen Untergrund hat Serienjunkies.org eine lange Geschichte.
Ein Interview mit dem Betreiber wurde durchgeführt, bei dem auch abgesprungene Uploader von Serienfans/Filmfans versuchten, offene Rechnungen zu begleichen und interne Informationen preiszugeben.
In Zukunft würde man die Fragen zur Fairness alleine zusammenstellen, um solche Vorfälle zu vermeiden.

 

[yoshi2001]

uBlock Origin müsste diese Skripts blocken können.
Ich denke, dass die schon in den Filterlisten drin sind?

Ich hab vorhin mal ein wenig getestet, wenn man im Blocker Javascript blockt und neu Laden klickt, merkt man nach kurzer Zeit deutlich, dass die Lüfter der Grafikkarte wieder langsamer werden.

 

[edgonzo]

Sorry war falscher Thread, der andere ist noch nicht frei gegeben!

Zum Thema:
Ja, das müsste schon geblockt sein, mein Avast hat die auch schon gesperrt.

 

[yoshi2001]

Da ich den DNS von Cloudfront nutze, konnte ich die Seiten ohne Probleme aufrufen.

Die haben diese Info auf ihren Seiten eingeblendet:

Liebe Serien- und FilmFans,

in Deutschland sind unsere Webseiten von einer Netzsperre der "Clearingstelle Urheberrecht im Internet" betroffen. Wie ihr diese Sperre einfach, legal und kostenlos umgehen könnt, findet ihr unter DNS-Sperre umgehen - DNS-Sperre.Info | Zensur im Internet.

 

[hoewer]

Mein UBlock hat die noch nicht selbstständig deaktiviert.
Aber man kann ja unter "Meine Filter" einfach folgende Einträge vornehmen

! Kryptominer deaktivieren
||serienfans.org/serienfans.js$script,1p
||filmfans.org/moviefans.js$script,1p

 

[yoshi2001]

Ich hatte den Test über den Button </> Javascript deaktiviert durchgeführt.
Sobald ich da draufgeklickt hatte, wurde der Lüfter von der Grafikkarte nach kurzer Zeit wieder ruhiger.

 

[Picobot]

Das Problem ist nur, daß man, wenn das Script serienfans.org/serienfans.js blockiert ist, keine Downloadmöglichkeiten mehr angezeigt werden. Man müßte dieses Script mit Hilfe von Greasemonkey oder ähnlichen durch eine modifizierte Version ersetzen, aus welcher die Malware entfernt wurde.

 

[mrbones]

Vermutlich ist deren Suche deswegen so scheisse.
Gibt man einen Filmtitel ein, wird während des Tippens der richtige Film ganz oben angezeigt. Sobald man fertig ist, ist er plötzlich weg und man klickt auf einen anderen.
Die wollen einen wohl länger auf der Seite haben.

 

[yoshi2001]

Es gab doch mal Plugins für den Browser, der das Mining im Browser verhindert.
Ich kann mich auch dunkel daran erinnern, dass es für uBlock Origin so eine Funktion gab.

Im Firefox gibt es bei den Einstellungen > Datenschutz & Sicherheit den Browserschutz.
Wenn man den auf Benutzerdefiniert stellt, gibt es einen Eintrag "Heimliche Kryptowärungsberechner (Crypto-Miner)".
Ich hab das mal so eingestellt und werde das ganze noch mal auf den Seiten testen wie sich die Grafikkarte verhält.

 

[mestorf]

In uBlock unter Einstellungen - meine filter - übernehmen folgendes eingeben: -> GPU Last 5%

! Kryptominer deaktivieren
||serienfans.org/css/awesome.css?977f51ab$stylesheet,1p
||filmfans.org/css/awesome.css?d62f4d8b$stylesheet,1p

Viel erschrekender ist doch eher die Erkenntnis, wer garantiert mir, sowas nicht auf anderen seiten zu haben? Ich überrpüfe doch nicht meine GPU last die ganze Zeit. Das ganz im CSS zu verstecken und dann auch noch ohne meine Kentniss, eingreifen funktioniert das auch noch .... was wird denn noch alles ohne meine Kenntnis ausgeführt?

 

[DarkStarXxX]

Solche Seiten kann man halt nur noch über Kodi benutzen, da laufen solche versteckten Codes ins leere.

 

[edgonzo]

Da bin ich mir nicht so sicher, weil mein Antivirus in Kodi jedes mal diese beiden blockt, bzw. ein Teil davon.

 

[Picobot]

Das sperren der beiden Scripte erfüllt den Zweck. Bleibt nur noch die Frage ob und wie schnell dann der Name der versteckten Scripte geändert wird um das Spiel weiter zu betreiben.

 

[Ctrl_Esc]

mmnaja..

Spoiler

genau das hatte ich auch schon mal angesprochen mit "einigen" kodi addons,
welche zumindest nen hintertürchen haben, zertifikate ganz abgeschaltet haben, oder nen proxy aufbauen...
##oder komplette kontrolle, nachrichten aufm screen anzeigen lassen, oder "löschen" des kodi client, auch möglich.
entweder durch nen build, oder durch einige addons / scripte.
gab keine antwort drauf.
..hatte mir das auch mal mit putty angeschaut, was da "krach" macht,
aber bin da mit h"TOP" nicht weiter gekommen, um das zu insolieren / ausfindig zu machen.
da es immer von prozess zu prozess spingt.

und nun ließt man hier...

 

[yoshi2001]

Man kann auch das Script so ändern, dass es immer wirkt.
Zum Beispiel so:

! Kryptominer deaktivieren
||serienfans.org/css/awesome.css?*$stylesheet,1p
||filmfans.org/css/awesome.css?*$stylesheet,1p