Регионы
Абу-ДабиАбхазияАвстралияАвстрияАдлерАдыгеяАзербайджанАлагирАлбанияАлжирАлматыАлтайАлтайский крайАлуштаАльпыАмерикаАмстердамАмурскАмурская областьАнапаАнгарскАнглияАнголаАнжеро-СудженскАнтальяАнтигуа и БарбудаАР КрымАргентинаАрктикаАрмавирАрменияАрхангельскАрхангельская областьАстанаАстраханская областьАстраханьАфганистанАфрикаАчинскБагдадБайден НейлияБайкальскБалашихаБалиБангладешБарнаулБарселонаБатумиБахмутБахрейнБашкирияБашкортостанБеларусьБелгородБелгородская областьБелогорскБелорецкБельгияБелявский СергейБесланБишкекБлаговещенскБолгарияБоливияБосния и ГерцеговинаБостонБразилияБратскБританияБрянскБрянская областьБуркина-ФасоБурятияБухарестБуценец АлександрВалдайВаршаваВатиканВеликобританияВенаВенгрияВенесуэлаВенецияВильнюсВладивостокВладикавказВладимирВладимирская областьВолгоградВолгоградская областьВологодская областьВоркутаВоронежВоронежская областьВосточная АзияВьетнамГабонГавайиГагаузияГаитиГайанаГанаГватемалаГвинеяГеленджикГерманияГолландияГонконгГрецияГрищенко ОлегГрозныйГрузияДагестанДальний ВостокДанияДзержинскДмитрий ЗацепинДнепрДНРДоминикаДоминиканская республикаДонбассДонецкая областьДубаиДубайЕАОЕврейская автономная областьЕвропаЕвропейский союзЕвросоюзЕгипетЕкатеринбургЕреванЗабайкальеЗабайкальский крайЗападЗапорожская областьЗауральеЗеленогорскЗеленоградЗимбабвеИвановоИвановская областьИерусалимИжевскИзраильИнгушетияИндияИндонезияИорданияИракИранИркутскИркутская областьИрландияИсландияИспанияИталияЙеменЙошкар-ОлыКабардино-БалкарияКавказКазаньКазахстанКалининградКалининградская областьКалифорнияКалмыкияКалужская областьКамбоджаКамбоджияКаменск-УральскийКамчаткаКамчатский крайКанадаКанарские островаКанныКанскКарагандаКарачаево-ЧеркесияКарачаево-Черкесская РеспубликаКарелияКарибские островаКаспийскКатарКемеровоКемеровская областьКенияКерченский проливКерчьКиевКипрКиргизияКировКировская областьКитайКлавихо Телепнев ВладимирКНДРКНРКолорадоКолумбияКомиКомсомольск-на-АмуреКонгоКостромаКостромская областькрасногорсКрасногорскКраснодарКраснодарский крайКрасное мореКрасноярскКрасноярский крайКрымКубаКубаньКувейтКузбассКурганская областьКурдистанКурскКурская областьКыргызстанЛатвияЛатинская АмерикаЛенинградская областьЛиберияЛиванЛивияЛипецкЛипецкая областьЛисичанскЛитваЛихтенштейнЛондонЛос-АнджелесЛуганская областьЛюберцыЛюксембургМаврикийМагаданМагаданская областьМагнитогорскМадагаскарМадридМакедонияМалавиМалайзияМалиМальдивыМальтаМарий ЭлМариупольМароккоМаршалловы островаМахачкалаМексикаМиланМилютина АнастасияМинаева НатальяМинскМозамбикМолдавияМолдоваМонакоМонголияМордовияМоскваМосковская областьМурманскМурманская областьМытищиМьянмаНабережные ЧелныНагорный КарабахНальчикНевисНенецкий автономный округНепалНефтеюганскНигерНигерияНидерландыНижегородская областьНижневартовскНижнегородская областьНижний НовгородНижний ТагилНикарагуаНиколаевск на АмуреНиццаНовая ГвинеяНовая ЗеландияНовая КаледонияНовая КаховкаНовая МоскваНовгородская областьНово-ОгаревоНовокузнецкНовороссийскНовосибирскНовосибирская областьНовоуральскНорвегияНорильскНоябрьскНью-ЙоркОАЭОдессаОмскОмская областьОнтариоОрелОренбургОренбургская областьОрловская областьОрмузский заливОрскПавлодарская областьПакестанПакистанПалауПалестинаПанамаПапуа - Новая ГвинеяПарагвайПекинПензаПензенская областьПервоуральскПереяславль-ЗелесскийПермский крайПермьПерупетеПетрозаводскПодмосковьеПодольскПольшаПортугалияПрагаПрибайкальеПрибалтикаПриднестровьеПрикамьеПриморский крайПриморьеПсковПсковская областьПуэрто-РикоПятигорскРеспублика БашкортостанРеспублика ГамбияРеспублика ИнгушетияРеспублика КомиРеспублика МордовияРеспублика ТуваРеспублика ХакасияРигаРоссияРостовРостов-на-ДонуРостове-на-ДонуРостовская областьРумынияРязанская областьСаксонияСальвадорСамараСамарская областьСанкт-ПетербургСаранскСаратовСаратовская областьСаудовская АравияСахалинСахалинская областьСвердловскСвердловская областьСевастопольСеверная кореяСеверная Корея (КНДР)Северная МакедонияСеверная ОсетияСейшелыСектор ГазаСенегалСент-КитсСент-Китс и НевисСербияСергиев ПосадСерпуховСибирьСимферопольСингапурСирияСицилияСловакияСловенияСмоленскСмоленская областьСомалиСочиСредняя АзияСССРСтавропольСтавропольский крайСтамбулСуданСургутСухумиСШАСьерра-ЛеонеТаганрогТаджикистанТаиландТайваньТаймырТаманьТамбовская областьТанзанияТатарстанТашкентТбилисиТверская областьТверьТегеранТехасТокиоТольяттиТомскТомская областьТуваТулаТульская областьТунисТуркменистанТуркменияТурцияТюменская областьТюменьУгандаУдмуртияУзбекистанУкраинаУлан-УдэУльяновскУльяновская областьУралУсолье-СибирскоеУсть-ИлимскУсть-ЛабинскУсть-ЛугаУфаФеодосияФилиппиныФинляндияФинский заливФлоридаФонтенблоФранцияхабаровскХабаровский крайХакасияХанты-Мансийский автономный округХарьковХарьковская областьХерсонская областьХМАОХорватияХрамцов АлексейЦентральноафриканская Республика (ЦАР)ЧадЧебоксарыЧелябинскЧелябинская областьЧерногорияЧертановоЧехияЧеченская республикаЧечняЧикагоЧилиЧитаЧувашияЧукоткаШадринскШарьеШвейцарияШвецияШишкина ИринаШотландияШри-ЛанкаЩелковоЭквадорЭкваториальная ГвинеяЭлектрогорскЭлеонора МайерсЭритреяЭссекибоЭстонияЭфиопияЮАРЮграЮжная КореяЮжная ОсетияЮжно-СахалинскЮжный УралЮЗАОЮрмалаЯкутияЯлтаЯмалЯНАОЯпонияЯрославльЯрославская область

Как хакеры добывают криптовалюту с помощью антивирусных программ

Просмотры: 911     Комментарии: 0
Как хакеры добывают криптовалюту с помощью антивирусных программ
Как хакеры добывают криптовалюту с помощью антивирусных программ

Специалисты Elastic Security Labs и Antiy выявили новую кампанию по добыче криптовалюты под кодовым названием REF4578, в ходе которой вредоносное ПО GhostEngine использует уязвимые драйверы для отключения антивирусных программ и запуска майнера XMRig.

Elastic Security Labs и Antiy отметили высокую степень сложности атаки. В своих отчетах компании поделились правилами обнаружения угрозы, чтобы помочь защитникам обнаруживать и останавливать такие атаки. Однако ни один из отчетов не связывает деятельность с известными хакерскими группами и не предоставляет деталей о жертвах, поэтому происхождение и масштаб кампании остаются неизвестными.

Как действует GhostEngine

Пока неясно, каким образом злоумышленникам удается взломать серверы, однако атака начинается с выполнения файла Tiworker.exe, который маскируется под легитимный файл Windows. Исполняемый файл является первой стадией запуска GhostEngine, который представляет собой PowerShell-скрипт для загрузки различных модулей на зараженное устройство.

После запуска Tiworker.exe скачивает скрипт get.png с C2-сервера, который служит основным загрузчиком GhostEngine. PowerShell-скрипт загружает дополнительные модули и их конфигурации, отключает Windows Defender, включает удаленные службы и очищает различные журналы событий Windows.

Новости по теме:В Кыргызстане разоблачена транснациональная группа, подозреваемая в хищении криптовалюты

Скрипт проверяет наличие как минимум 10 МБ свободного места на диске, чтобы продолжить заражение, и создает запланированные задачи для обеспечения устойчивости угрозы. Затем скрипт загружает и запускает исполняемый файл smartsscreen.exe – основное вредоносное ПО GhostEngine. Программа отключает и удаляет EDR-решения, а также загружает и запускает XMRig для майнинга криптовалюты.

Для отключения программ защиты GhostEngine загружает 2 уязвимых драйвера: aswArPots.sys (драйвер Avast) для завершения процессов EDR и IObitUnlockers.sys (драйвер Iobit) для удаления связанных исполняемых файлов.

 qhiquziqkxidrerkm

Цепочка заражения GhostEngine

Меры по защите от GhostEngine

Специалисты Elastic рекомендуют защитникам обратить внимание на подозрительные выполнения PowerShell, необычную активность процессов и сетевой трафик, указывающий на криптовалютные пулы. Также использование уязвимых драйверов и создание связанных служб ядра должно вызывать подозрения.

Превентивной мерой защиты является блокировка создания файлов уязвимыми драйверами, такими как aswArPots.sys и IobitUnlockers.sys. Elastic Security также предоставила правила YARA в своем отчете, чтобы помочь защитникам выявлять инфекции GhostEngine.

Хотя исследователи не обнаружили значительных сумм на единственном изученном платежном ID, существует вероятность, что каждый пострадавший пользователь имеет уникальный кошелек, и общий финансовый ущерб может быть значительным.

Надежда Денская
Распечатать  

Комментарии:

comments powered by Disqus
16 июня 2024 г., 09:09:00 Военный табачок дорог