Обнаружен работающий в памяти «крипточервь» для Windows




Итальянский исследователь Марко Рамилли (Marco Ramilli) опубликовал результаты анализа необычного сетевого червя, ворующего пароли и устанавливающего майнер криптовалюты Monero, сообщает Threatpost.

Характерными особенностями нового Windows-зловреда также являются сложный процесс заражения, использование эксплойтов и работа без записи файлов на диск.

Как показало тестирование, при запуске вредоносный файл y1.bat загружает с китайского сервера и запускает дроппер info6.ps1 — сильно обфусцированный скрипт PowerShell, состоящий из трех модулей:

- Mimikatz.dll;
- набор утилит для деобфускации, сканирования локальных сетей, активации эксплойтов и т.п., а также для загрузки и запуска майнера;
- набор эксплойтов EternalBlue.

Использование Mimikatz позволяет «крипточервю» (all in memory CryptoWorm), как его называет Рамилли, украсть пароли пользователей Windows. После этого он ищет в той же сети устройства, уязвимые к атакам на SMB (патчи MS17-010 были выпущены Microsoft еще в марте), и, найдя таковые, применяет эксплойты для дальнейшего распространения инфекции.

На последнем этапе атаки новоявленный червь загружает и запускает на исполнение файл info.vbs, опознанный как дроппер XMRig — доступной на Github программы с открытым исходным кодом для майнинга Монеро.

Как отмечают эксперты, примечательно, что XMRig помещается непосредственно в память зараженной системы.

Также по теме:

- Самые распространенные криптовалюты для скрытого майнинга — Monero и Zcash
- Хакеры майнят криптовалюту через браузеры российских пользователей
- Как скрытые майнеры криптовалют попадают на ваш компьютер

Автор: Softodrom.ru
Дата:
» Оставьте первым свой комментарий

Новости > Безопасность > Обнаружен работающий в памяти «крипточервь» для Windows
Все рубрики статей:
Топ-сегодня: Безопасность
ФСБ предложила шифровать данные в Рунете «Кузнечиком»
Для массового использования отечественной криптографии в Рунете необходимо будет договариваться с крупнейшими производителями операционных систем
Mail.ru заменит пароли пользователей на одноразовые коды
Сервис электронной почты Mail.ru вводит новые способы входа в почтовый ящик
Как удалить данные без возможности восстановления
Что такое безвозвратное удаление данных, и как удалить данные с компьютера так, чтобы их нельзя было восстановить
Обнаружен уникальный троянец на JavaScript
Троянец устанавливается в автозагрузку и начинает майнинг криптовалюты TurtleCoin
Испанская футбольная лига подслушивала фанатов для отлова баров с пиратским футболом
Facebook слушает микрофон с 2014 года, в 2015 году российский Яндекс.Навигатор без спросу записывал разговоры, а Яндекс.Метро собирало данные, которые прямого отношения к «Метро» не имеют
Новые статьи: Безопасность
Mail.ru заменит пароли пользователей на одноразовые коды
Сервис электронной почты Mail.ru вводит новые способы входа в почтовый ящик
ФСБ предложила шифровать данные в Рунете «Кузнечиком»
Для массового использования отечественной криптографии в Рунете необходимо будет договариваться с крупнейшими производителями операционных систем
Обнаружен уникальный троянец на JavaScript
Троянец устанавливается в автозагрузку и начинает майнинг криптовалюты TurtleCoin
Испанская футбольная лига подслушивала фанатов для отлова баров с пиратским футболом
Facebook слушает микрофон с 2014 года, в 2015 году российский Яндекс.Навигатор без спросу записывал разговоры, а Яндекс.Метро собирало данные, которые прямого отношения к «Метро» не имеют
Проблемы с защитой паролей нашли в более чем 50% CMS
Почти 40% CMS не устанавливают минимальную длину кодовой фразы, а WordPress и Drupal вовсе позволяют использовать однозначные пароли

Статистика | Рейтинги | Авторам | Реклама
Copyright © 1999-2019 Softodrom.ru
О перепечатках | Рассылки | Пользовательское соглашение | Политика конфиденциальности | О проекте | Карта сайта
Яндекс.Метрика 
В Опере нет автоматического способа добавить поиск по Софтодрому.
Чтобы вручную добавить поиск по Софтодрому, нужно сделать следующее:
  1. Нажать Ctrl+F12.
  2. Выбрать вкладку «Поиск».
  3. Нажать «Добавить» (Add).
  4. В появившемся окне:
    1. Заполнить название (Softodrom.ru).
    2. Заполнить адрес: https://www.softodrom.ru/Поиск/?text=%s&qs
      Если нет поля «адрес», то кликнуть на «Подробнее».
    3. Остальные поля заполнить по желанию.
  5. Нажать «ОК».