Trojan.BtcMine.218 раскрывает имя своего создателя

[AM_Bot 48]

18 декабря 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — сообщает о появлении вредоносной программы Trojan.BtcMine.218, предназначенной для майнинга (добычи) электронной криптовалюты Bitcoin, и распространяющейся с помощью широко известной вредоносной партнерской программы installmonster.ru. Это уже второй троянец для несанкционированного использования вычислительных ресурсов компьютеров, обнаруженный специалистами «Доктор Веб» в декабре 2013 года.

Мониторинг партнерской программы по монетизации файлового трафика Installmonster.ru в очередной раз подтвердил её вредоносный характер. В начале декабря в раздаче этой партнерской программы был замечен файл SmallWeatherSetup.exe, якобы представляющий собой «погодный тулбар». Известно и одноименное вполне безобидное приложение, действительно способное демонстрировать актуальную информацию о погоде, однако вариант, предлагаемый партнерской программой Installmonster.ru, содержит совсем небезопасное «дополнение».

В данном случае мы имеем дело с классическим троянцем-дроппером, написанным на макроязыке AutoIt. Код скрипта достаточно прост и понятен, при этом он содержит две характерные строки:

FILEINSTALL("C:UsersAntonioDesktopGlueSmallWeatherSetup.exe", @TEMPDIR & "Setup_1.exe")

FILEINSTALL("C:UsersAntonioDesktopGlueInstall.exe", @TEMPDIR & "Setup_2.exe")

Из этих строк становится очевидно, что пользователь, скрывающийся под псевдонимом Antonio, собрал на Рабочем столе своего компьютера дроппер, включающий два приложения: безобидный «погодный информатор» SmallWeatherSetup.exe и вредоносную программу в файле Install.exe. Приложение Install.exe представляет собой загрузчик основного троянского компонента, который, используя конфигурационный файл в формате XML, скачиваемый с сайта злоумышленников http://bitchat.org, устанавливает на инфицированный компьютер приложение для добычи (майнинга) криптовалюты. В конфигурационном файле содержится логин пользователя, в чью пользу троянец расходует аппаратные ресурсы компьютера жертвы, — tonycraft.

В качестве приложения для добычи криптовалюты используется программа, известная под именем cpuminer (Tool.BtcMine.130), однако на зараженной системе она работает под именем %APPDATA%Intelexplorer.exe. Для обеспечения автоматического запуска троянская программа модифицирует соответствующую ветвь системного реестра Windows:

[HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun]

"Intel® Common User Interface"="%APPDATA%IntelIntel.exe"

По всей видимости, Antonio (Tony) не слишком искушен в вопросах программирования, поскольку разработку вредоносной программы он поручил другому человеку, который и написал основные модули троянца. Об этом говорит символьная информация, оставленная в модулях троянца, например: "c:UsersКошевой ДмитрийDocumentsVisual Studio 2012ProjectsMinerInstalobjDebugInstal.pdb".

С помощью элементарного поиска без труда находится страница в социальной сети «ВКонтакте», где пользователь с ником Tonycoin приглашает всех на свой «обновленный чат-сайт bitchat.org»:

Кроме того, без труда отыскиваются страницы, где тот же пользователь рекламирует своего троянца под видом приложения SmallWeatherSetup.exe:

В настоящее время вирусописатель "Кошевой Дмитрий" неустанно продолжает модифицировать свою поделку для обхода сигнатурного детекта, а Tony переключился с "Погодного Информера" на распространение приложения "Интернет Радио" в виде файла с именем ScreamerRadio.exe.

К слову, на днях в партнерской программе InstallMonster появился новый "рекламодатель", устанавливающий пользователям программу RadioOnline.exe, которая, как нетрудно догадаться, представляет собой всё тот же Trojan.BtcMine.218. Вредоносная программа Trojan.BtcMine.218 распознается и успешно удаляется ПО Dr.Web и потому не представляет опасности для пользователей нашего антивируса.

Источник

[Milord 55]

Кто хочет "пощупать", в том же ргхосте забиваем в поиск "RadioOnline.exe" - 100% попадание)

[alamor 69]

https://www.virustotal.com/en/file/cfa57a86...sis/1387389181/

[priv8v 960]

Товарищ Беляш уже пожаловался в компетентные органы на школьника?

хотя если они в винлоках открыто адрес вк пишут для фидбека...

а вообще меня умиляет ситуация когда чуть ли не fud семпл выкачивает и инсталлит некриптованный cpuмайнер... - такое в большинстве случаев на мой взгляд....

[B . 90]

Он таки покриптован. Энигмой.