Троянизированный инсталлятор Super Mario 3 для Windows заражает геймеров

Троянизированный инсталлятор Super Mario 3 для Windows заражает геймеров

Троянизированный инсталлятор Super Mario 3 для Windows заражает геймеров

Злоумышленники выпустили в дикую природу троянизированную версию игры Super Mario 3: Mario Forever для Windows. В результате ничего не подозревающие геймеры заразили свои компьютеры майнером и инфостилером.

Super Mario 3: Mario Forever — бесплатный ремейк классической игры для Nintendo. За разработкой проекта, который вышел для Windows в 2003 году, стояла компания Buziol Games.

Самой собой, переиздание привлекло внимание многих фанатов и «олдов». Люди в особенности отмечали присутствие уже полюбившейся механики управления классической серии, но при этом обновлённую графику и более современные звуковые эффекты.

Исследователи из Cyble выяснили, что киберпреступники распространяют модифицированную версию инсталлятора Super Mario 3: Mario Forever в виде самораспаковывающегося архива. Точные каналы распространения пока неизвестны.

Скорее всего, злоумышленники размещают вредоносную инсталляшку на форумах для геймеров, в соцсетях или продвигают свои сайты с помощью «чёрного SEO». В архиве лежат три исполняемых файла: один устанавливает легитимную игру Mario (super-mario-forever-v702e.exe), а два других — java.exe и atom.exe — незаметно устанавливаются в директорию AppData.

 

Как только злонамеренные файлы оказываются на диске, инсталлятор выполняет их и запускает майнер XMR (Monero), а также клиент SupremeBot. В качестве самого майнера выступает файл java.exe, собирающий информацию об аппаратном обеспечении жертвы. Для майнинга он подключается к серверу gulf[.]moneroocean[.]stream.

SupremeBot (файл atom.exe) создаёт собственную копию и помещает её в скрытую папку, размещённую в установочной директории видеоигры. Далее создаётся задание в планировщике, которое запускает упомянутую копию каждые 15 минут.

При этом зловред завершает изначальный процесс и удаляет файл для ухода от детектирования. На командный сервер отправляются данные заражённого компьютера, C2 регистрирует машину и посылает настройки для майнинга Monero.

На завершающем этапе SupremeBot получает дополнительный пейлоад с сервера под именем wime.exe. Этот файл — вредонос Umbral Stealer, написанный на C# и предназначенный для кражи информации: cookies и токены сессий для аккаунтов Discord, Minecraft, Roblox и Telegram.

Роскомнадзор экономит ресурсы, замедляя Telegram

Мощностей технических средств противодействия угрозам (ТСПУ), которые Роскомнадзор использует для ограничения доступа к ресурсам, по мнению экспертов, оказалось недостаточно для одновременного воздействия на несколько крупных платформ. В результате ведомству приходится применять альтернативные технические методы.

Как считают эксперты, опрошенные РБК, именно этим может объясняться исчезновение домена YouTube из DNS-серверов Роскомнадзора, о котором накануне сообщил телеграм-канал «Эксплойт».

Управляющий директор инфраструктурного интегратора «Ультиматек» Джемали Авалишвили в комментарии РБК связал ситуацию с началом замедления Telegram:

«Фактически подконтрольные Роскомнадзору DNS-серверы перестали возвращать корректные адреса для домена youtube.com, что привело к невозможности подключения пользователей. Такой метод — часть технического арсенала Роскомнадзора для ограничения доступа к “неугодным” ресурсам. Он не нов и применяется в России наряду с блокировкой IP-адресов и пакетной фильтрацией».

Независимый эксперт телеком-рынка Алексей Учакин пояснил, что подобный подход может использоваться для экономии ресурсов, которых недостаточно для одновременного замедления двух крупных платформ:

«Поскольку все провайдеры обязаны использовать национальную систему доменных имен, то есть DNS-серверы под контролем Роскомнадзора, фактически появляется грубый, но достаточно надежный “выключатель” YouTube на территории России. При этом даже такая мера не перекрывает все способы обхода блокировок».

Замедление Telegram в России началось 10 февраля — об этом сначала сообщили СМИ со ссылкой на источники, а затем информацию официально подтвердил Роскомнадзор. Однако жалобы пользователей на снижение скорости работы мессенджера появились еще 9 февраля.

RSS: Новости на портале Anti-Malware.ru