Malver u piratskim kopijama Windowsa 10 na torent sajtovima

Opisi virusa, 14.06.2023, 09:30 AM

Sajber-kriminalci distribuiraju piratske kopije Windowsa 10 koristeći torente koji skrivaju “otmičara kriptovaluta” u EFI (Extensible Firmware Interface) particiji da bi se izbeglo otkrivanje malvera.

EFI particija je sistemska particija koja sadrži bootloader (pokretač) i povezane fajlove koje se izvršavaju pre pokretanja operativnog sistema. EFI koriste kompjuteri koji imaju UEFI (Unified Extensible Firmware Interface) koji je zamenio sada zastareli BIOS.

I ranije je bilo napada koji koriste modifikovane EFI particije za aktiviranje malvera, kao što je na primer BlackLotus. Međutim, infiltracija malvera u EFI particiju računara kao vektor napada je i dalje je veoma retka. Stoga je identifikovani slučaj od velikog značaja za stručnjake za bezbednost.

Piratske kopije Windowsa 10 koje su otkrili istraživači Doctor Weba koriste EFI samo kao bezbedan prostor za skladištenje komponenti clippera, malvera koji je dizajniran za krađu kriptovaluta. Pošto standardni antivirusni alati obično ne skeniraju EFI particiju, malver može ostati neotkriven.

Krajem maja, istraživačima Doctor Weba prijavljena je infekcija kompjutera sa Windows 10. Analiza koju su sproveli istraživači potvrdila je prisustvo trojanskih aplikacija u sistemu - malvera za krađu kriptovaluta Trojan.Clipper.231, kao i Trojan.MulDrop22.7578 droppera i Trojan.Inject4.57873 injectora koji su korišćeni za pokretanje clippera.

Takođe je otkriveno da je zaraženi operativni sistem nezvanična verzija i da su trojanci u njemu od početka. Istraživači su potom otkrili još nekoliko takvih zaraženih verzija Windowsa 10, ali Doctor Web upozorava da bi ih moglo biti još i da sajber-kriminalci možda koriste i druge sajtove za distribuciju ovih fajlova:

Windows 10 Pro 22H2 19045.2728 + Office 2021 x64 by BoJlIIIebnik RU.iso

Windows 10 Pro 22H2 19045.2846 + Office 2021 x64 by BoJlIIIebnik RU.iso

Windows 10 Pro 22H2 19045.2846 x64 by BoJlIIIebnik RU.iso

Windows 10 Pro 22H2 19045.2913 + Office 2021 x64 by BoJlIIIebnik [RU, EN].iso

Windows 10 Pro 22H2 19045.2913 x64 by BoJlIIIebnik [RU, EN].iso

Zaražene verzije Windowsa 10 u sistemskom direktorijumu sakrivaju WindowsInstalleriscsicli.exe (dropper), WindowsInstallerrecovery.exe (injector) i WindowsInstallerkd_08_5e78.dll (clipper).

Ako budu otkriveni, clipper neće zameniti adrese kripto novčanika kako bi se izbeglo otkrivanje.

Ako se clipper pokrene, nadgledaće clipboard i u hodu zamenjivati adrese kripto novčanika koje su u njega kopirane adresama koje su pod kontrolom napadača.

Ovo omogućava napadačima da preusmere uplate na svoje račune. Prema podacima Doctor Weba, do sada su sajber-kriminalci na ovaj način zaradili oko 19.000 dolara u kriptovalutama (0,73406362 BTC i 0,07964773 ETH), računajući samo adrese novčanika koje su istraživači uspeli da identifikuju.

Trojanac sve vreme proverava aktivne procese. Ako otkrije procese aplikacija koje predstavljaju pretnju za njega, neće zamenjivati adrese kripto novčanika.

Piratske kopije softvera treba izbegavati jer mogu biti opasne, upravo iz razloga na koji ukazuje ovaj primer.

Foto: Mateusz Dach / Pexels