Хитрый троян-майнер прыгает через воздушный зазор с драйвером в кармане

Хитрый троян-майнер прыгает через воздушный зазор с драйвером в кармане

Хитрый троян-майнер прыгает через воздушный зазор с драйвером в кармане

Эксперты Trellix выявили новую, скрытную криптоджекинг-кампанию. Анализ показал, что атакующий Windows-машины зловред умеет самостоятельно распространяться через съемные носители, притом даже в физически изолированных средах.

Для обхода традиционной защиты режима пользователя и оптимизации ресурсов жертвы для майнинга применяется техника BYOVD: троян устанавливает в систему уязвимый драйвер ядра.

Цепочку заражения запускает хорошо известная приманка в виде кряка премиум-софта. В инсталляторе для Windows сокрыт дроппер, развертывающий целевого зловреда — тулкит Explorer.exe (результат VirusTotal на 19 февраля — 37/72).

Он работает, как конечный автомат, поведение которого определяют параметры командной строки, и умеет выполнять функции установщика, сторожа, менеджера полезной нагрузки, гасителя процессов.

Все необходимые инструменты Explorer.exe содержатся во встроенном архиве. Зловред распаковывает их в папку локального пользователя с атрибутами hidden или system, выдавая за известные приложения.

Так, за фейковым Microsoft Compatibility Telemetry.exe скрывается загрузчик криптомайнера, за kernel32 .dll — XMRig, за explorer .exe — убийца одноименного фантомного процесса.

 

Особый интерес у исследователей вызвали многочисленные сторожевые процессы (edge.exe,wps.exe, ksomisc.exe), запускаемые в произвольном порядке с помощью кастомного генератора случайных чисел. Это клоны контроллера (Explorer.exe), которые помогают ему и друг другу быстро восстановиться в случае сбоя или неожиданного завершения.

Пришлый WinRing0x64.sys версии 1.2.0 уязвим к эксплойту CVE-2020-14979. Он устанавливается и запускается в системе как служба режима ядра.

Характерной особенностью нового трояна является его способность распространяться через флешки и внешние диски. Специальный модуль отслеживает нотификации WM_DEVICECHANGE и события DBT_DEVICEARRIVAL и при подключении устройства копирует на него Explorer.exe, создавая скрытую папку и маскировочный LNK-файл, чтобы спровоцировать запуск на другом компьютере.

В коде вредоноса найдены артефакты, свидетельствующие о том, что его автор — поклонник аниме. Так, рабочие режимы обозначены 002 Re:0 (запуск основных задач), 016 (проверка и поддержка работоспособности криптомайнера), barusu (завершение процессов, удаление файлов).

Обнаружена также мина с часовым механизмом: троян сверяет системную дату с вшитым дедлайном — 23 декабря 2025 года, и при превышении сворачивает свою активность. Возможно, новое оружие пока тестируется и совершенствуется; в пользу этой гипотезы говорит также единственный найденный в декабре активный майнер.

ChatGPT обвинили в поощрении суицида: против OpenAI подали новый иск

OpenAI столкнулась с новым громким иском. Семья 24-летней канадки Элис Карриер, погибшей во время психического кризиса летом прошлого года, обвинила компанию в том, что ChatGPT не просто не помог пользователю, а фактически подтолкнул её к самоубийству.

Иск подан в Верховный суд Сан-Франциско. Родственники утверждают, что во время многочасового общения ChatGPT поощрял Элис покончить с собой и демонстрировал опасную склонность соглашаться с её убеждениями вместо того, чтобы настойчиво направлять её к профессионалам.

Особенно спорным выглядит один из эпизодов, описанных в материалах дела. В какой-то момент ChatGPT всё же рекомендовал обратиться в кризисную службу поддержки. Однако девушка ответила, что такие службы либо вызывают полицию, либо просто бросают трубку. После этого чат-бот, по версии истцов, практически отказался от дальнейших попыток убедить её обратиться за помощью.

Адвокаты семьи считают, что причиной стала особенность модели GPT-4o — стремление поддерживать разговор и подстраиваться под пользователя. Согласно иску, чат-бот начал зеркалить позицию собеседницы и даже согласился с тем, что обращение на горячую линию может быть опасным.

Юристы называют это примером так называемой сикофантии — поведения ИИ, при котором система чрезмерно соглашается с пользователем вместо того, чтобы оспаривать опасные или ошибочные выводы.

В OpenAI ранее заявляли, что компания осознаёт ответственность за пользователей, находящихся в эмоционально тяжёлом состоянии, и постоянно улучшает механизмы выявления признаков психологического кризиса. После смерти Карриер компания также сообщала о работе над дополнительными мерами безопасности.

Однако представители семьи считают, что этих мер было недостаточно и они появились слишком поздно.

Дело стало очередным эпизодом в растущем списке судебных претензий к разработчикам генеративного ИИ. Всё чаще предметом споров становятся не ошибки в фактах и не нарушение авторских прав, а влияние чат-ботов на психологическое состояние людей.

RSS: Новости на портале Anti-Malware.ru