Malver u piratskim kopijama Windowsa 10 na torent sajtovima

Opisi virusa, 14.06.2023, 09:30 AM

Malver u piratskim kopijama Windowsa 10 na torent sajtovima

Sajber-kriminalci distribuiraju piratske kopije Windowsa 10 koristeći torente koji skrivaju “otmičara kriptovaluta” u EFI (Extensible Firmware Interface) particiji da bi se izbeglo otkrivanje malvera.

EFI particija je sistemska particija koja sadrži bootloader (pokretač) i povezane fajlove koje se izvršavaju pre pokretanja operativnog sistema. EFI koriste kompjuteri koji imaju UEFI (Unified Extensible Firmware Interface) koji je zamenio sada zastareli BIOS.

I ranije je bilo napada koji koriste modifikovane EFI particije za aktiviranje malvera, kao što je na primer BlackLotus. Međutim, infiltracija malvera u EFI particiju računara kao vektor napada je i dalje je veoma retka. Stoga je identifikovani slučaj od velikog značaja za stručnjake za bezbednost.

Piratske kopije Windowsa 10 koje su otkrili istraživači Doctor Weba koriste EFI samo kao bezbedan prostor za skladištenje komponenti clippera, malvera koji je dizajniran za krađu kriptovaluta. Pošto standardni antivirusni alati obično ne skeniraju EFI particiju, malver može ostati neotkriven.

Krajem maja, istraživačima Doctor Weba prijavljena je infekcija kompjutera sa Windows 10. Analiza koju su sproveli istraživači potvrdila je prisustvo trojanskih aplikacija u sistemu - malvera za krađu kriptovaluta Trojan.Clipper.231, kao i Trojan.MulDrop22.7578 droppera i Trojan.Inject4.57873 injectora koji su korišćeni za pokretanje clippera.

Takođe je otkriveno da je zaraženi operativni sistem nezvanična verzija i da su trojanci u njemu od početka. Istraživači su potom otkrili još nekoliko takvih zaraženih verzija Windowsa 10, ali Doctor Web upozorava da bi ih moglo biti još i da sajber-kriminalci možda koriste i druge sajtove za distribuciju ovih fajlova:

Windows 10 Pro 22H2 19045.2728 + Office 2021 x64 by BoJlIIIebnik RU.iso

Windows 10 Pro 22H2 19045.2846 + Office 2021 x64 by BoJlIIIebnik RU.iso

Windows 10 Pro 22H2 19045.2846 x64 by BoJlIIIebnik RU.iso

Windows 10 Pro 22H2 19045.2913 + Office 2021 x64 by BoJlIIIebnik [RU, EN].iso

Windows 10 Pro 22H2 19045.2913 x64 by BoJlIIIebnik [RU, EN].iso

Zaražene verzije Windowsa 10 u sistemskom direktorijumu sakrivaju WindowsInstalleriscsicli.exe (dropper), WindowsInstallerrecovery.exe (injector) i WindowsInstallerkd_08_5e78.dll (clipper).

Ako budu otkriveni, clipper neće zameniti adrese kripto novčanika kako bi se izbeglo otkrivanje.

Ako se clipper pokrene, nadgledaće clipboard i u hodu zamenjivati adrese kripto novčanika koje su u njega kopirane adresama koje su pod kontrolom napadača.

Ovo omogućava napadačima da preusmere uplate na svoje račune. Prema podacima Doctor Weba, do sada su sajber-kriminalci na ovaj način zaradili oko 19.000 dolara u kriptovalutama (0,73406362 BTC i 0,07964773 ETH), računajući samo adrese novčanika koje su istraživači uspeli da identifikuju.

Trojanac sve vreme proverava aktivne procese. Ako otkrije procese aplikacija koje predstavljaju pretnju za njega, neće zamenjivati adrese kripto novčanika.

Piratske kopije softvera treba izbegavati jer mogu biti opasne, upravo iz razloga na koji ukazuje ovaj primer.

Foto: Mateusz Dach / Pexels


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Lažni poslodavci novim malverom inficiraju računare onih koji posao traže na LinkedInu i X-u

Lažni poslodavci novim malverom inficiraju računare onih koji posao traže na LinkedInu i X-u

Nova verzija malvera BeaverTail koristi se za napade na ljude koji traže posao u tehnološkoj industriji. Napad, koji su otkrili istraživači iz Uni... Dalje

Sajber kriminalci koriste skandal sa reperom Pi Didijem za širenje novog malvera

Sajber kriminalci koriste skandal sa reperom Pi Didijem za širenje novog malvera

Sajber kriminalci pokušavaju da iskoriste interes javnosti u vezi optužbi protiv rep zvezde Šona „Didija“ Kombsa za širenje novog malv... Dalje

Novi RAT, trojanac SambaSpy, je digitalni špijun 21. veka

Novi RAT, trojanac SambaSpy, je digitalni špijun 21. veka

SambaSpy je RAT, trojanac koji napadačima obezbeđuje daljinski pristup zaraženim uređajima, koji je prvi put primećen u maju ove godine kada je k... Dalje

Malver StealC ima neobičan metod za krađu lozinke za Google nalog

Malver StealC ima neobičan metod za krađu lozinke za Google nalog

Malver StealC koristi neobičan metod zaključavanja korisnika u kiosk režimu pregledača kako bi ih naterao da unesu korisničko ime i lozinku za Go... Dalje

Novi malver za macOS krade lozinke i druge osetljive informacije sa zaraženih uređaja

Novi malver za macOS krade lozinke i druge osetljive informacije sa zaraženih uređaja

Firma Cado Security otkrila je novi malver, Cthulhu Stealer, koji inficira uređaje sa Appleovim operativnim sistemom macOS. Cthulhu Stealer funkcioni... Dalje