Новый вредоносный майнер скрытно прячется, когда открыт диспетчер задач

Знакомьтесь с «Norman» — новым вариантом вредоносного ПО для майнинга Monero, которое использует хитрые уловки, чтобы его не обнаружили.

Вредоносный код былидентифицировано Исследователи из компании Varonis, занимающейся безопасностью данных, расследуют заражение криптомайнерами «компании среднего размера».

«Почти каждый сервер и рабочая станция были заражены вредоносным ПО. Большинство из них представляли собой универсальные версии криптомайнеров. Некоторые из них представляли собой инструменты для сброса паролей, некоторые — скрытые PHP-оболочки, а некоторые присутствовали в течение нескольких лет», — заявила фирма.

Однако ONE шахтер выделялся среди остальных — Норман, как его окрестила команда.

Полезная нагрузка Нормана имеет две основные функции: запуск криптомайнера на базе XMRig и избежание обнаружения.

После внедрения он перезаписывает свою запись в explorer.exe, чтобы скрыть доказательства своего присутствия. Он также останавливает работу майнера, когда пользователь ПК открывает диспетчер задач (см. изображение ниже). Повторное внедрение себя, когда диспетчер задач не запущен.

Майнерский элемент вредоносной программы основан на общедоступном коде XMRig.размещено на GitHibОднако Varonis обнаружил, что его адрес Monero (XMR) заблокирован майнинговым пулом, с которым он связан, и, следовательно, фактически отключен.

Исследователи также обнаружили PHP-оболочку, возможно, связанную с Норманом, которая «постоянно подключается к командно-контрольному серверу (C&C)».Веб-оболочкимогут разрешить удаленный доступ к системе, на которой они установлены.

Однако команда обнаружила, что при запуске кода он вошел в цикл ожидания команд, и на момент написания статьи ни одна не была получена.

В отчете также отмечается, что Норман мог быть создан во Франции или франкоговорящей стране. «Файл SFX имел комментарии на французском языке, которые указывают на то, что автор использовал французскую версию WinRAR для создания файла», — сказал Варонис.

Совет:ТЯО

Кот в коробкеизображение через Shutterstock; анимация gif через Варонис