Malver u piratskim kopijama Windowsa 10 na torent sajtovima
Opisi virusa, 14.06.2023, 09:30 AM
Sajber-kriminalci distribuiraju piratske kopije Windowsa 10 koristeći torente koji skrivaju “otmičara kriptovaluta” u EFI (Extensible Firmware Interface) particiji da bi se izbeglo otkrivanje malvera.
EFI particija je sistemska particija koja sadrži bootloader (pokretač) i povezane fajlove koje se izvršavaju pre pokretanja operativnog sistema. EFI koriste kompjuteri koji imaju UEFI (Unified Extensible Firmware Interface) koji je zamenio sada zastareli BIOS.
I ranije je bilo napada koji koriste modifikovane EFI particije za aktiviranje malvera, kao što je na primer BlackLotus. Međutim, infiltracija malvera u EFI particiju računara kao vektor napada je i dalje je veoma retka. Stoga je identifikovani slučaj od velikog značaja za stručnjake za bezbednost.
Piratske kopije Windowsa 10 koje su otkrili istraživači Doctor Weba koriste EFI samo kao bezbedan prostor za skladištenje komponenti clippera, malvera koji je dizajniran za krađu kriptovaluta. Pošto standardni antivirusni alati obično ne skeniraju EFI particiju, malver može ostati neotkriven.
Krajem maja, istraživačima Doctor Weba prijavljena je infekcija kompjutera sa Windows 10. Analiza koju su sproveli istraživači potvrdila je prisustvo trojanskih aplikacija u sistemu - malvera za krađu kriptovaluta Trojan.Clipper.231, kao i Trojan.MulDrop22.7578 droppera i Trojan.Inject4.57873 injectora koji su korišćeni za pokretanje clippera.
Takođe je otkriveno da je zaraženi operativni sistem nezvanična verzija i da su trojanci u njemu od početka. Istraživači su potom otkrili još nekoliko takvih zaraženih verzija Windowsa 10, ali Doctor Web upozorava da bi ih moglo biti još i da sajber-kriminalci možda koriste i druge sajtove za distribuciju ovih fajlova:
Windows 10 Pro 22H2 19045.2728 + Office 2021 x64 by BoJlIIIebnik RU.iso
Windows 10 Pro 22H2 19045.2846 + Office 2021 x64 by BoJlIIIebnik RU.iso
Windows 10 Pro 22H2 19045.2846 x64 by BoJlIIIebnik RU.iso
Windows 10 Pro 22H2 19045.2913 + Office 2021 x64 by BoJlIIIebnik [RU, EN].iso
Windows 10 Pro 22H2 19045.2913 x64 by BoJlIIIebnik [RU, EN].iso
Zaražene verzije Windowsa 10 u sistemskom direktorijumu sakrivaju WindowsInstalleriscsicli.exe (dropper), WindowsInstallerrecovery.exe (injector) i WindowsInstallerkd_08_5e78.dll (clipper).
Ako budu otkriveni, clipper neće zameniti adrese kripto novčanika kako bi se izbeglo otkrivanje.
Ako se clipper pokrene, nadgledaće clipboard i u hodu zamenjivati adrese kripto novčanika koje su u njega kopirane adresama koje su pod kontrolom napadača.
Ovo omogućava napadačima da preusmere uplate na svoje račune. Prema podacima Doctor Weba, do sada su sajber-kriminalci na ovaj način zaradili oko 19.000 dolara u kriptovalutama (0,73406362 BTC i 0,07964773 ETH), računajući samo adrese novčanika koje su istraživači uspeli da identifikuju.
Trojanac sve vreme proverava aktivne procese. Ako otkrije procese aplikacija koje predstavljaju pretnju za njega, neće zamenjivati adrese kripto novčanika.
Piratske kopije softvera treba izbegavati jer mogu biti opasne, upravo iz razloga na koji ukazuje ovaj primer.
Foto: Mateusz Dach / Pexels
Izdvojeno
Novi malver SteelFox sakriven u programima za nelegalnu aktivaciju softvera
Kaspersky upozorava na novi crimeware pod nazivom SteelFox koji rudari kriptovalute i krade podatke o kreditnim karticama koristeći tehniku „b... Dalje
Novi opasni malver WarmCookie krije se u linkovima i prilozima u emailovima
Istraživači sajber bezbednosti iz kompanije Cisco Talos upozorili su na novi malver pod nazivom WarmCookie, takođe poznat kao BadSpace, koji se ši... Dalje
Lažni poslodavci novim malverom inficiraju računare onih koji posao traže na LinkedInu i X-u
Nova verzija malvera BeaverTail koristi se za napade na ljude koji traže posao u tehnološkoj industriji. Napad, koji su otkrili istraživači iz Uni... Dalje
Sajber kriminalci koriste skandal sa reperom Pi Didijem za širenje novog malvera
Sajber kriminalci pokušavaju da iskoriste interes javnosti u vezi optužbi protiv rep zvezde Šona „Didija“ Kombsa za širenje novog malv... Dalje
Novi RAT, trojanac SambaSpy, je digitalni špijun 21. veka
SambaSpy je RAT, trojanac koji napadačima obezbeđuje daljinski pristup zaraženim uređajima, koji je prvi put primećen u maju ove godine kada je k... Dalje
Pratite nas
Nagrade