Скрытый майнер в пиратском ПО

В декабре 2023 года специалисты компании выявили два основных трояна-майнера:Trojan.BtcMine.3767 и связанный с ним Trojan.BtcMine.2742, которые проникали на компьютеры пользователей вместе с пиратскими дистрибутивами.

Trojan.BtcMine.3767 — это программа для операционной системы Windows, написанная на языке С++. Она является загрузчиком майнера и основана на проекте SilentCryptoMiner с открытым исходным кодом. Основными источниками инфицированного этим трояном программного обеспечения являются Telegram-канал t[.]me/files_f с более чем пятью тысячами подписчиков, а также веб-сайты itmen[.]software и soft[.]sibnet[.]ru.

Важно отметить, что для последнего использовался установщик NSIS, и после распаковки инсталляционного пакета были обнаружены пути, которые злоумышленники использовали для хранения исходных файлов трояна.

C:bot_sibnetResourcessoftportalexe

C:bot_sibnetResourcesprotect_buildminer

По данным компании, за полтора месяца одна из кампаний по распространению данного трояна привела к заражению более 40 000 компьютеров. Однако, учитывая статистику просмотров публикаций в Telegram-канале и трафик веб-сайтов, масштаб проблемы может оказаться еще более значительным.

Скрытый майнер в пиратском программном обеспечении позволяет злоумышленникам обогащаться за счет вычислительной мощности компьютеров своих жертв. Это происходит путем использования ресурсов компьютера для добычи криптовалюты без ведома и согласия пользователя. Такие действия могут привести к значительному снижению производительности компьютера и повышенному энергопотреблению, а также могут представлять угрозу для конфиденциальности и безопасности данных пользователя.

После запуска загрузчик копирует себя в каталог %ProgramFiles%googlechrome под именем updater.exe и создает задачу планировщика для обеспечения автозагрузки при запуске ОС. В целях маскировки задача имеет название GoogleUpdateTaskMachineQC. Кроме того, загрузчик прописывает свой файл в исключения антивируса Windows Defender, а также запрещает компьютеру выключаться и уходить в режим гибернации. Начальные настройки зашиты в тело трояна, в дальнейшем получение настроек выполняется с удаленного хоста. После инициализации в процесс explorer.exe внедряется полезная нагрузка — Trojan.BtcMine.2742, отвечающий за скрытую добычу криптовалюты.

Дополнительно загрузчик позволяет устанавливать на скомпрометированный компьютер бесфайловый руткит r77, запрещать обновления ОС Windows, блокировать доступ к сайтам, автоматически удалять и восстанавливать свои исходные файлы, приостанавливать процесс добычи криптовалюты, а также выгружать занимаемую майнером оперативную и видеопамять при запуске на зараженном компьютере программ для мониторинга процессов.

Изображение: Vitte Yevhen / shutterstock.com

Источник: drweb.ru

Источник: www.it-world.ru

0 0 голоса
Рейтинг новости
0
0
Подписаться
Уведомить о
0 комментариев
Межтекстовые Отзывы
Посмотреть все комментарии