Недавно обнаруженный бэкдор способен распространяться по локальной сети, а также позволяет киберпреступникам устанавливать на скомпрометированный компьютер дополнительные вредоносные программы.
Изначально эксперты наткнулись на этот образец в феврале 2019 года, тогда он был в стадии тестирования. Вредонос получил имя Plurox, он написан на C и скомпилирован с помощью Mingw GCC.
Plurox использует протокол TCP для коммуникации с командным сервером C&C, а также поддерживает установку различных плагинов для расширения своих функциональных возможностей.
Исследователи «Лаборатории Касперского» проанализировали бэкдор, отметив, что он использует два различных порта для загрузки плагинов.
При этом используемые порты и адреса C&C жестко закодированы внутри вредоносной программы.
Специалисты антивирусной компании также обнаружили две подсети, каждая из которых отвечает за разную вредоносную активность. Первая отвечает за передачу бэкдору модулей майнеров (auto_proc, auto_cuda, auto_gpu_nvidia).
Вторая подсеть обеспечивает загрузки других модулей — auto_opencl_amd, auto_miner.
Всего вредонос поддерживает семь команд, благодаря которым он может загружать и запускать файлы с помощью WinAPI CreateProcess. Помимо этого, бэкдор может обновляться и полностью самоуничтожаться.
