Malver u piratskim kopijama Windowsa 10 na torent sajtovima

Opisi virusa, 14.06.2023, 09:30 AM

Malver u piratskim kopijama Windowsa 10 na torent sajtovima

Sajber-kriminalci distribuiraju piratske kopije Windowsa 10 koristeći torente koji skrivaju “otmičara kriptovaluta” u EFI (Extensible Firmware Interface) particiji da bi se izbeglo otkrivanje malvera.

EFI particija je sistemska particija koja sadrži bootloader (pokretač) i povezane fajlove koje se izvršavaju pre pokretanja operativnog sistema. EFI koriste kompjuteri koji imaju UEFI (Unified Extensible Firmware Interface) koji je zamenio sada zastareli BIOS.

I ranije je bilo napada koji koriste modifikovane EFI particije za aktiviranje malvera, kao što je na primer BlackLotus. Međutim, infiltracija malvera u EFI particiju računara kao vektor napada je i dalje je veoma retka. Stoga je identifikovani slučaj od velikog značaja za stručnjake za bezbednost.

Piratske kopije Windowsa 10 koje su otkrili istraživači Doctor Weba koriste EFI samo kao bezbedan prostor za skladištenje komponenti clippera, malvera koji je dizajniran za krađu kriptovaluta. Pošto standardni antivirusni alati obično ne skeniraju EFI particiju, malver može ostati neotkriven.

Krajem maja, istraživačima Doctor Weba prijavljena je infekcija kompjutera sa Windows 10. Analiza koju su sproveli istraživači potvrdila je prisustvo trojanskih aplikacija u sistemu - malvera za krađu kriptovaluta Trojan.Clipper.231, kao i Trojan.MulDrop22.7578 droppera i Trojan.Inject4.57873 injectora koji su korišćeni za pokretanje clippera.

Takođe je otkriveno da je zaraženi operativni sistem nezvanična verzija i da su trojanci u njemu od početka. Istraživači su potom otkrili još nekoliko takvih zaraženih verzija Windowsa 10, ali Doctor Web upozorava da bi ih moglo biti još i da sajber-kriminalci možda koriste i druge sajtove za distribuciju ovih fajlova:

Windows 10 Pro 22H2 19045.2728 + Office 2021 x64 by BoJlIIIebnik RU.iso

Windows 10 Pro 22H2 19045.2846 + Office 2021 x64 by BoJlIIIebnik RU.iso

Windows 10 Pro 22H2 19045.2846 x64 by BoJlIIIebnik RU.iso

Windows 10 Pro 22H2 19045.2913 + Office 2021 x64 by BoJlIIIebnik [RU, EN].iso

Windows 10 Pro 22H2 19045.2913 x64 by BoJlIIIebnik [RU, EN].iso

Zaražene verzije Windowsa 10 u sistemskom direktorijumu sakrivaju WindowsInstalleriscsicli.exe (dropper), WindowsInstallerrecovery.exe (injector) i WindowsInstallerkd_08_5e78.dll (clipper).

Ako budu otkriveni, clipper neće zameniti adrese kripto novčanika kako bi se izbeglo otkrivanje.

Ako se clipper pokrene, nadgledaće clipboard i u hodu zamenjivati adrese kripto novčanika koje su u njega kopirane adresama koje su pod kontrolom napadača.

Ovo omogućava napadačima da preusmere uplate na svoje račune. Prema podacima Doctor Weba, do sada su sajber-kriminalci na ovaj način zaradili oko 19.000 dolara u kriptovalutama (0,73406362 BTC i 0,07964773 ETH), računajući samo adrese novčanika koje su istraživači uspeli da identifikuju.

Trojanac sve vreme proverava aktivne procese. Ako otkrije procese aplikacija koje predstavljaju pretnju za njega, neće zamenjivati adrese kripto novčanika.

Piratske kopije softvera treba izbegavati jer mogu biti opasne, upravo iz razloga na koji ukazuje ovaj primer.

Foto: Mateusz Dach / Pexels


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Malver FakeBat se širi preko Google oglasa, lažnih ažuriranja pretraživača i društvenih mreža

Malver FakeBat se širi preko Google oglasa, lažnih ažuriranja pretraživača i društvenih mreža

Malver FakeBat, takođe poznat i pod imenima EugenLoader i PaykLoader, je trenutno jedan od najrasprostranjenijih malvera iz grupe tzv. „loadera... Dalje

Malver StrelaStealer krade lozinke iz Mozilla Thunderbirda i Outlooka

Malver StrelaStealer krade lozinke iz Mozilla Thunderbirda i Outlooka

Tim za istraživanje pretnji SonicWall Capture Labsa upozorava na napade u kojima se koristi malver StrelaStealer koji krade lozinke. Zanimljivo je da... Dalje

Novi malver ''Poseidon'' inficira Mac računare preko lažnih Google oglasa

Novi malver ''Poseidon'' inficira Mac računare preko lažnih Google oglasa

Istraživači iz Malwarebytes Laba upozorili su na novu kampanju koju je njen kreator nazvao „Posejdon“, čije su mete korisnici Mac raču... Dalje

Hakovani sajtovi inficiraju posetioce novim Windows backdoorom BadSpace

Hakovani sajtovi inficiraju posetioce novim Windows backdoorom BadSpace

Hakovani veb sajtovi se koriste za isporuku Windows backdoora pod nazivom BadSpace pod maskom lažnih ažuriranja pretraživača. Napadači koriste &b... Dalje

Malver Noodle RAT napada Windows i Linux sisteme

Malver Noodle RAT napada Windows i Linux sisteme

Gotovo deceniju, različite kineske hakerske grupe koristile su malver koji je pogrešno klasifikovan kao varijanta drugog malvera, priznali su struč... Dalje