黑客们一直在窃取国际许愿基金会网站访问者的CPU周期。Trustwave的研究人员发现CoinIMP挖掘脚本嵌入了这个非营利性网站，同时脚本还利用了Drupalgeddon 2漏洞。

研究人员在许愿基金会的网站上发现了从5月起一直活跃的密码系统。该网站隶属于基金会在美国的分支机构。

“犯罪分子嵌入脚本试图利用网站的强大算力挖掘加密货币，从而让自己拥有“真实的财富”。但他们却在节日季来临之前对准的不是其他任何人，而是慈善网站，这实在是一种耻辱，未免显得太low。”rustwave的安全研究员Simon Kenin说。

CoinIMP矿工基于JavaScript工作，经常被别有用心的人利用，这些人常秘密地将代码嵌入到网站中，还使用它在网站访问者的手机、平板电脑或计算机上挖掘门罗币。

根据Kenin的说法，攻击利用了Drupal在线发布平台的未修补漏洞和 3月份修补的  Drupalgeddon 2漏洞。有调查显示，用于托管采矿脚本的域名'drupalupdates.tk'是自2018年5月开始在野外开发Drupalgeddon 2的活动的一部分,虽然关键远程代码执行Bug（CVE-2018-7600）的补丁已经存在数月，但许多站点尚未更新并且仍然容易受到攻击。事实上，截至6月份，超过115,000个网站仍然容易受到攻击。

这种秘密挖矿活动极难被发现，因为它使用了不同的技术来避免静态检测。例如，它首先更改承载JavaScript挖掘器的域名（它本身就是混淆的）。然后，根据Trustwave，WebSocket代理还使用不同的域和IP来避免黑名单解决方案。

Kenin表示他联系了基金会官方，但是始终没有得到回应，不过注入的脚本已经从网站上删除了。与此同时，Kenin警告，需要更新以drupal为基础的网站，否则将面临被同攻击行为威胁的风险。

Drupalgeddon 2并不是网络犯罪分子用来感染恶意劫持恶意软件的唯一攻击媒介，密码劫持现象如此广泛，有时很难判断网站是否感染了恶意软件，或者网站所有者是否真正添加了挖掘代码。尤其对于小型网站，它们可能会使用加密技术来获取合法的收入来源，但它们保护自己网站的能力可能也有限，这可能会让它们面临密码破解的风险。