Slik ble Hola Browser brukt til hemmelig kryptoutvinning

En tilsynelatende rutinemessig sertifiseringskontroll i juni 2026 trakk teppet vekk fra et sofistikert angrep på brukere av Hola Browser for Windows. Sikkerhetseksperter hos Sophos X-Ops fant en uerklært kjørbar fil, me.exe, buntet sammen med den offisielle installasjonspakken. Filen var ikke et uskyldig uhell – det var en XMRig-basert kryptominer designet for i all hemmelighet å utvinne Monero på ofrenes maskiner .

Funnet ble gjort under AppEsteems sertifiseringstesting av Hola Browser versjon 1.251.91.0, og var umiddelbart alarmerende fordi den ondsinnede filen ikke var en del av nettleserens godkjente programvarepakke. Sophos vurderte hendelsen som et kompromiss av distribusjonspipelinen, noe som betyr at en angriper hadde injisert skadevaren i bygge- eller pakkeprosessen etter at den legitime koden var skrevet. Uavhengige etterforskere i Sygnia bekreftet senere denne vurderingen .

Slik opererte den snikende miner-en

XMRig-nyttelasten var konstruert for å være så lite synlig som mulig. I motsetning til aggressiv skadevare som varsler om sin tilstedeværelse med åpenbare ytelsesproblemer, var denne mineren konfigurert til å bare kjøre når vertssystemet var inaktivt. Dette minimerte risikoen for at brukeren skulle oppdage den .

Da den først var installert, etablerte skadevaren seg permanent gjennom en rekke veloverveide handlinger:

• Filplassering: Mineren kopierte seg selv til

  C:\Program Files\Hola\HolaMonitorService.exe

  . Både filbane og filnavn var valgt for å fremstå som en legitim overvåkingskomponent for nettleseren .
• Opprettelse av tjeneste: Den opprettet en Windows-tjeneste med navnet hola_monitor_svc og satte en oppstartstype på 0x00000002, noe som sikret at den ville starte automatisk hver gang systemet ble slått på .
• Omgåelse av Windows Defender: For å unngå maskinens innebygde antivirus-skanning, opprettet skadevaren et unntak i Windows Defender for sin egen filbane .
• Tilsløring og anonymitet: Filen me.exe var uten digital signatur, og koden var obfuskert (tilslørt). Sikkerhetsforskere bemerket at selve filnavnet så ut til å være valgt fordi det var anonymt og kunne gli inn blant legitime prosesser .

Et begrenset, men alvorlig angrep

Heldigvis var omfanget av kompromisset relativt smalt. Sophos estimerte at omtrent 0,1 % av Hola Browsers brukere ble berørt . Selv om dette er en liten brøkdel av brukermassen, representerer hendelsen et skoleeksempel på et såkalt "supply chain"-angrep: En tiltrodd distribusjonskanal for programvare blir vendt mot sine egne brukere, og omgår den normale sikkerhetsvurderingen brukere har av offisielle installasjonsfiler.

Angrepet var ikke et innbrudd i Holas kildekode. I stedet kastet det lys over sårbarheten i bygge- og slipp-prosessen for programvare – en påminnelse om at selv når utviklere skriver ren kode, kan et kompromiss under kompilering, pakking eller distribusjon forgifte sluttproduktet .

Holas mottiltak

Da Sophos X-Ops rapporterte funnet, iverksatte Hola strakstiltak for å stanse trusselen og forhindre gjentakelse. Selskapets utbedringstiltak inkluderte:

• Gjenoppbygging av hele distribusjonspipelinen fra grunnen av for å eliminere eventuell gjenværende angripertilgang .
• Innføring av kodesigneringsverifisering for å blokkere usignerte og uautoriserte binærfiler fra å passere gjennom byggeprosessen .
• Strengere tilgangskontroller og kontinuerlig overvåking av distribusjonsinfrastrukturen .

På tross av disse tiltakene er det fortsatt, per den offentlige kunngjøringen 4. juni 2026, kritiske spørsmål som står ubesvart. Hola har ikke offentliggjort angrepsvektoren – altså hvordan pipelinen først ble brutt – identiteten til trusselaktøren, eller varigheten av deres tilgang. Hele det tekniske bildet forblir lukket for offentligheten. Dette etterlater både brukere og sikkerhetsmiljøet med en tankevekkende historie, men en ufullstendig forståelse av trusselen .