Zlonamerna programska oprema Monero Mining je uspešna na vrhu Googlovega iskanja

Zahrbtna kampanja zlonamerne programske opreme, ki cilja na uporabnike, ki iščejo Googlove aplikacije, je okužila na tisoče računalnikov po vsem svetu za rudarjenje kripto monera (XMR), osredotočenega na zasebnost.

Verjetno še niste slišali za Nitrokod. Izraelsko kibernetsko obveščevalno podjetje Check Point Research (CPR) je prejšnji mesec naletelo na zlonamerno programsko opremo. 

V poročilo v nedeljo, je podjetje dejalo, da se Nitrokod sprva maskira kot brezplačna programska oprema, saj je dosegel izjemen uspeh na vrhu Googlovih rezultatov iskanja za »prenos Google Translate za namizne računalnike«.

Zlonamerna programska oprema za rudarjenje, znana tudi kot kriptojacking, se uporablja za infiltracijo v stroje nič hudega slutečih uporabnikov vsaj od leta 2017, ko je postala pomembna skupaj s priljubljenostjo kriptovalut.

CPR je pred tem novembra istega leta zaznal dobro znano zlonamerno programsko opremo CoinHive, ki je rudarila XMR. CoinHive naj bi kradel 65 % vseh CPU virov končnega uporabnika brez njihove vednosti. Akademiki izračuna zlonamerna programska oprema je na svojem vrhuncu ustvarila 250,000 USD na mesec, pri čemer je bila večina namenjena manj kot ducatu posameznikov.

Kar zadeva Nitrokod, CPR verjame, da ga je uvedel turško govoreči subjekt nekje leta 2019. Deluje v sedmih stopnjah, ko se pomika po svoji poti, da bi se izognil odkrivanju tipičnih protivirusnih programov in sistemskih obramb. 

"Zlonamerna programska oprema se zlahka odstrani iz programske opreme, ki se nahaja na vrhu Googlovih rezultatov iskanja za zakonite aplikacije," je podjetje zapisalo v svojem poročilu.

Ugotovljeno je bilo, da sta Softpedia in Uptodown dva glavna vira lažnih aplikacij. Blockworks se je obrnil na Google, da bi izvedel več o tem, kako filtrira tovrstne grožnje.

Po prenosu aplikacije namestitveni program izvede zakasnjeno kapljanje in se nenehno posodablja ob vsakem ponovnem zagonu. Peti dan zakasnjena kapalka ekstrahira šifrirano datoteko. 

Datoteka nato sproži zadnje stopnje Nitrokoda, ki določajo razporejanje opravil, brisanje dnevnikov in dodajanje izjem za protivirusne požarne zidove, ko preteče 15 dni.

Nazadnje se zlonamerna programska oprema za kripto rudarjenje »powermanager.exe« prikrito spusti na okuženi stroj in se loti generiranja kripto z uporabo odprtokodnega CPU rudarja XMRig, ki temelji na Monero (istega, ki ga uporablja CoinHive).

"Po začetni namestitvi programske opreme so napadalci več tednov odložili postopek okužbe in izbrisali sledi iz prvotne namestitve," je podjetje zapisalo v svojem poročilu. "To je omogočilo, da je kampanja leta uspešno delovala pod radarjem."

Podrobnosti o čiščenju strojev, okuženih z Nitrokodom, najdete na konec poročila o grožnjah CPR.

Vsak večer v vaš nabiralnik prejmete najpomembnejše kripto novice in vpoglede dneva. Naročite se na brezplačno glasilo podjetja Blockworks zdaj.