Обнаружен работающий в памяти «крипточервь» для Windows

Итальянский исследователь Марко Рамилли (Marco Ramilli) опубликовал результаты анализа необычного сетевого червя, ворующего пароли и устанавливающего майнер криптовалюты Monero, сообщает Threatpost.

Характерными особенностями нового Windows-зловреда также являются сложный процесс заражения, использование эксплойтов и работа без записи файлов на диск.

Как показало тестирование, при запуске вредоносный файл y1.bat загружает с китайского сервера и запускает дроппер info6.ps1 — сильно обфусцированный скрипт PowerShell, состоящий из трех модулей:

- Mimikatz.dll;
- набор утилит для деобфускации, сканирования локальных сетей, активации эксплойтов и т.п., а также для загрузки и запуска майнера;
- набор эксплойтов EternalBlue.

Использование Mimikatz позволяет «крипточервю» (all in memory CryptoWorm), как его называет Рамилли, украсть пароли пользователей Windows. После этого он ищет в той же сети устройства, уязвимые к атакам на SMB (патчи MS17-010 были выпущены Microsoft еще в марте), и, найдя таковые, применяет эксплойты для дальнейшего распространения инфекции.

На последнем этапе атаки новоявленный червь загружает и запускает на исполнение файл info.vbs, опознанный как дроппер XMRig — доступной на Github программы с открытым исходным кодом для майнинга Монеро.

Как отмечают эксперты, примечательно, что XMRig помещается непосредственно в память зараженной системы.

Также по теме:

- Самые распространенные криптовалюты для скрытого майнинга — Monero и Zcash
- Хакеры майнят криптовалюту через браузеры российских пользователей
- Как скрытые майнеры криптовалют попадают на ваш компьютер

Автор:	Softodrom.ru
Дата:	04.10.2017 05:45