Эмулятор Android Andy устанавливает на компьютеры скрытый GPU-майнер

Эмулятор Android Andy устанавливает на компьютеры скрытый GPU-майнер

Эмулятор Android Andy устанавливает на компьютеры скрытый GPU-майнер

Вредоносная программа, майнящая криптовалюту за счет ресурсов графического процессора, устанавливается вместе с популярным эмулятором Android для Windows и macOS Andy. Об этом сообщил пользователь Reddit.

В своем сообщении на площадке Reddit пользователь TopWire обращает внимание, что вредоносный GPU-майнер устанавливается без ведома пользователей в директорию C:\Program Files (x86)\Updater\updater.exe.

Более того, пользователь неоднократно пытался связаться с разработчиками Andy через Facebook, однако каждый раз его исключали из соответствующей группы.

На VirusTotal инсталляционный файл Andy детектируется как InstallCore — известный вариант программы-установщика рекламного ПО, который компенсирует отсутствие платы за программу демонстрацией различного рода рекламных предложений.

Эксперт, проанализировавший Andy, сообщил, что при установке ему было предложено также установить Avast, расширение для Chrome Search Manager и WinZip.

Даже после отклонения всех этих предложений программа все равно установила файл C:\Program Files (x86)\Updater\updater.exe. Однако при запуске программа выдала ошибку. Если это действительно майнер, тогда ошибка — вполне закономерное явление, так как исследователь запускал программу на виртуальной машине.

К слову, опубликованный на Reddit updater.exe детектируется как майнер.

Специалист пошел дальше, проанализировав установщик Andy при помощи сервиса песочницы Any.Run. Анализ показал, что в процессе установки выполняется файл GoogleUpdate.exe (GoogleUpdate.exe /svc), который запускает файл с именем UpdaterSetup.exe, устанавливающий программу Updater.exe и настраивающий ее на автоматический запуск при входе в Windows.

GoogleUpdate.exe содержит описание «AndyOS Update» («Обновление AndyOS»), однако почему он называется GoogleUpdate — непонятно, эксперту показалось это странным.

Более того, код файла GoogleUpdate.exe подписан Andy OS Inc, это означает, что файл принадлежит Andy OS Inc или, по крайней мере, был намеренно подписан этой компанией.

На данный момент специалисты советуют не устанавливать Andy на свои компьютеры. Ниже можно ознакомиться с видео, которое выложил пользователь Reddit. На видео показано, с чем столкнулся TopWire при установке Andy.

США ввели санкции против троих россиян из-за утечки секретных эксплойтов

Управление по контролю за иностранными активами при Минфине США (OFAC) расширило санкционный список, добавив три зарубежные компании и четырех иностранцев в связи с кражей разработок американской оборонки.

В обновленный перечень OFAC включены питерское ООО «МАТРИЦА» (Matrix LLC, она же Operation Zero), дубайские Special Technology Services и Advance Security Solutions, россияне Сергей Зеленюк, Марина Васанович, Олег Кучеров, а также гражданин Узбекистана Азизжон Мамашоев.

Американские власти считают, что Зеленюк через свою компанию Operation Zero и дочернюю Special Technology Services перепродает эксплойты, в том числе созданные в США для собственных нужд и доступные лишь некоторым союзникам.

В частности, он якобы неоднократно за криптовалюту покупал такие инструменты у австралийца Питера Уильямса (Peter Williams), сотрудника компании-подрядчика Минобороны США, который в итоге был уволен и отдан под суд.

Жительница Новочеркасска Васанович попала под санкции как помощница Зеленюка. Кучеров, по версии США, входил в ОПГ, стоявшую за Trickbot, и пользовался услугами Operation Zero.

Имя Мамашоева американцы связывают с деятельностью Advance Security Solutions, тоже торгующей эксплойтами, и считают, что узбек на этом поприще контактировал с Зеленюком.

RSS: Новости на портале Anti-Malware.ru