Зловредный XMRig блочит Windows Update и повышает права с помощью WinRing0

Зловредный XMRig блочит Windows Update и повышает права с помощью WinRing0

Зловредный XMRig блочит Windows Update и повышает права с помощью WinRing0

Специалисты G DATA проанализировали новый вредоносный вариант майнера XMRig, объявившийся минувшей весной на фоне роста курса монеро. Заражения были обнаружены в Китае, Бельгии, Греции и России.

Обновленный зловред проникает на Windows-машины поэтапно, используя предустановленные в системе скрипты и бинарники (LOLBAS) для запуска полезной нагрузки, закрепления и ухода от обнаружения.

Определить первичный вектор заражения аналитикам не удалось. Вредоносную цепочку запускает svchost.exe, порождающий cmd-процесс для выполнения пакетного скрипта, именуемого 1.cmd.

Этот сценарий проверяет наличие контрольного файла check.txt в папке %APPDATA%\Temp во избежание повторного заражения, изменяет настройки Microsoft Defender, чтобы исключить сканирование корня пути C:\, а затем загружает другой скрипт, S2.bat, из домена notif[.]su и скрытно запускает его на исполнение с помощью PowerShell.

Сценарий S2.bat прежде всего отключает Windows-сервисы, способные помешать дальнейшему развертыванию зловреда (службы обновлений, BITS, TrustedInstaller). Он также загружает с того же сайта XMRig (miner.exe), который при установке создает новый ключ реестра на быстрый запуск и дропает легитимный драйвер WinRing0 для повышения прав в системе.

Как оказалось, все задействованные в атаке скрипты не обфусцированы. Обнаруженные в кодах комментарии свидетельствуют о том, что их создал ИИ-кодер либо неумелый вирусописатель; несмотря на это, на момент обнаружения все файлы плохо детектились на VirusTotal.

По данным G DATA, к маю поток обновлений для зловреда-криптоджекера иссяк. Спустя пару недель используемый им сайт notif[.]su был заблокирован.

История со слитыми переписками пользователей Telega быстро развалилась

Вокруг альтернативного клиента Telegram Телега вспыхнул новый скандал, продержался он недолго. Журналист ВГТРК Эдуард Петров сообщил, что в даркнете якобы появились предложения о продаже переписок пользователей Телеги. По его словам, киберпреступники готовы были предоставить 100 последних сообщений из чатов любых 10 пользователей за 155 тыс. рублей.

Звучало громко, но доказательств в публикации не было: ни ссылок, ни скриншотов, ни технических данных, ни подтверждения реальных сделок.

Команда Телеги назвала сообщение вбросом и заявила, что такой слив технически невозможен. В проекте подчеркнули, что автор публикации не запросил комментарий у команды и не предоставил источников. При этом разработчики заявили, что начали проверять возможные источники информации, но не нашли подтверждений.

Позже сам Петров удалил публикацию и извинился. Он признал, что после дополнительной проверки источник не предоставил никаких доказательств. Информация, по словам журналиста, оказалась непроверенной.

История произошла на фоне закрытия Телеги. Ранее команда проекта сообщила, что сервис прекратит работу с 1 июля из-за внешних ограничений со стороны технологических платформ и невозможности обеспечить полное соответствие действующим требованиям в формате телеграм-клиента.

У Телеги и до этого хватало проблем. В апреле стало известно, что Cloudflare пометил рабочие домены проекта как шпионские, после чего у клиента отозвали TLS-сертификат, а приложение удалили из App Store.

RSS: Новости на портале Anti-Malware.ru