Rusya, Türkiye, Ukrayna ve Avrasya bölgesindeki diğer ülkelerden 28.000'den fazla kişi büyük ölçekli bir kripto para biriktirme kötü amaçlı yazılım kampanyasından etkilendi.
Kötü amaçlı yazılım kampanyası, kurbanların enfeksiyonu başlatan şifre korumalı arşivleri indirdikleri YouTube videoları ve hileli GitHub depoları aracılığıyla teşvik edilen meşru yazılım olarak kendini gizler.
Siber güvenlik firması Dr. Web'e göre, kampanya, kullanıcıları kötü amaçlı dosyalar indirmeye kandırmak için korsan ofisle ilgili yazılım, oyun hileleri ve hackler ve hatta otomatik ticaret botları kullanıyor.
Web, "Toplamda, bu kötü amaçlı yazılım kampanyası, büyük çoğunluğu Rusya sakinleri olan 28.000'den fazla kişiyi etkiledi." Dedi.
"Belarus, Özbekistan, Kazakistan, Ukrayna, Kırgızistan ve Türkiye'de önemli sayıda enfeksiyon gözlenmiştir."
Enfeksiyon, şifre korumalı olarak indirildiğinde antivirüs taramalarından kaçan kendi kendini ekleyen bir arşiv açarak başlar.
Kurban sağlanan şifreye girdikten sonra, arşiv, ana yükün dijital olarak imzalanmış yükleyicisini başlatmak için kullanılan çeşitli gizlenmiş komut dosyalarını, DLL dosyalarını ve bir otomatik tercüman bırakır.
Kötü amaçlı yazılım, bir analistin ortamında çalışıp çalışmadığını görmek için hata ayıklama araçlarının varlığını kontrol eder ve varsa sona erer.
Ardından, saldırının sonraki aşamaları için gereken dosyaları çıkarır ve ardından Windows kayıt defterini kalıcılık için değiştirmek için görüntü dosyası yürütme seçenekleri (IFEO) tekniğini kullanır.
Kısacası, meşru Windows System hizmetlerinin yanı sıra Chrome's ve Edge'in güncelleme işlemlerini kötü niyetli olanlarla ele geçirir, böylece kötü amaçlı yazılım dosyaları bu işlemlerin başlatılması üzerine yürütülür.
Windows kurtarma hizmeti devre dışı bırakılır ve temizleme girişimini önlemek için kötü amaçlı yazılımların ve klasörlerindeki "sil" ve "değiştir" izinleri iptal edilir.
Oradan, NCAT Network yardımcı programı, Komut ve Kontrol (C2) sunucusu ile iletişim kurmak için kullanılır.
Kötü amaçlı yazılım ayrıca, bir telgraf botu aracılığıyla pespiltrat ettiği güvenlik işlemlerini çalıştırmak da dahil olmak üzere sistem bilgilerini de toplayabilir.
Kampanya, kurbanların makinelerine iki temel yük sunuyor. Birincisi, kurbanın hesaplama kaynaklarını kullanarak kripto para madenciliği yapan Silentcryptominer'ı yürütmek için kullanılan değiştirilmiş bir .NET kütüphanesi olan "Deviceld.dll" dir.
İkinci yük, bir kesme makinesi görevi gören, kopyalanan cüzdan adresleri için Windows panosunun izlenmesi ve bunları saldırganın kontrolü altındaki adreslerle değiştiren değiştirilmiş 7-ZIP kütüphanesi olan "7zxa.dll" dir.
Dr. Web, raporda 28.000 enfekte edilmiş makineden potansiyel madencilik karlarını belirtmedi, ancak tek başına kesme makinesinin 6.000 dolar değerinde işlem yaptığını ve miktarı saldırganın adreslerine yönlendirdiğini buldu.
Beklenmedik finansal kayıplardan kaçınmak için, yalnızca projenin resmi web sitesinden yazılımı indirin ve Google aramasında tanıtılan sonuçları engelleyin veya atlayın.
Ayrıca, bu platformların meşruiyeti indirme hedefinin güvenliğini garanti etmediğinden, YouTube veya Github'daki paylaşılan bağlantılara dikkat edin.
İnsan 571 kurbandan 37 milyon dolarlık kripto çalmaktan suçlu bulunuyor
Miami'de tutuklanan 230 milyon dolarlık kripto para hırsızlığının arkasındaki şüpheliler
İtalya'da tutuklanan 14 milyon dolarlık holograf kriptine bağlı bilgisayar korsanları
LEGO'nun web sitesi kripto para birimi dolandırıcılığı yapmak için hacklendi
ABD Yaptırımları Rus fidye yazılımı çeteleri tarafından kullanılan kripto borsaları
Kaynak: Bleeping Computer