Обнаружен работающий в памяти «крипточервь» для Windows
Новости Безопасность
Итальянский исследователь Марко Рамилли (Marco Ramilli) опубликовал результаты анализа необычного сетевого червя, ворующего пароли и устанавливающего майнер криптовалюты Monero, сообщает Threatpost.
Характерными особенностями нового Windows-зловреда также являются сложный процесс заражения, использование эксплойтов и работа без записи файлов на диск.
Как показало тестирование, при запуске вредоносный файл y1.bat загружает с китайского сервера и запускает дроппер info6.ps1 — сильно обфусцированный скрипт PowerShell, состоящий из трех модулей:
- Mimikatz.dll;
- набор утилит для деобфускации, сканирования локальных сетей, активации эксплойтов и т.п., а также для загрузки и запуска майнера;
- набор эксплойтов EternalBlue.
Использование Mimikatz позволяет «крипточервю» (all in memory CryptoWorm), как его называет Рамилли, украсть пароли пользователей Windows. После этого он ищет в той же сети устройства, уязвимые к атакам на SMB (патчи MS17-010 были выпущены Microsoft еще в марте), и, найдя таковые, применяет эксплойты для дальнейшего распространения инфекции.
На последнем этапе атаки новоявленный червь загружает и запускает на исполнение файл info.vbs, опознанный как дроппер XMRig — доступной на Github программы с открытым исходным кодом для майнинга Монеро.
Как отмечают эксперты, примечательно, что XMRig помещается непосредственно в память зараженной системы.
Также по теме:
- Самые распространенные криптовалюты для скрытого майнинга — Monero и Zcash
- Хакеры майнят криптовалюту через браузеры российских пользователей
- Как скрытые майнеры криптовалют попадают на ваш компьютер
|
|
|
