Зловреден софтуер MassJacker

Изследователите на киберсигурността разкриха нова кампания за зловреден софтуер, насочена към потребители, търсещи пиратски софтуер. Атаката доставя преди това недокументиран злонамерен софтуер за подстригване, наречен MassJacker, предназначен да краде криптовалута чрез манипулиране на данни от клипборда.

Как работи MassJacker: заплахата от злонамерен софтуер Clipper

Злонамереният софтуер Clipper е заплашителна киберзаплаха, която следи дейността на клипборда на жертвата. Когато потребител на компютър копира адрес на портфейл за криптовалута, злонамереният софтуер го заменя с адрес, контролиран от нападателя, пренасочвайки средствата към киберпрестъпниците вместо към предвидения получател.

Pesktop.com: Вход към инфекцията

Веригата на заразяване започва с Pesktop.com, уебсайт, маскиран като източник на пиратски софтуер. Потребителите обаче, изтеглящи от този сайт, несъзнателно получават различни видове зловреден софтуер заедно с желания софтуер.

След като потребителят изпълни първоначалния изпълним файл, той задейства PowerShell скрипт, който изтегля ботнет злонамерен софтуер, наречен Amadey, заедно с два .NET двоични файла, предназначени както за 32-битова, така и за 64-битова архитектура. Тези двоични файлове с кодово име PackerE изтеглят криптиран DLL, който след това стартира полезния товар на MassJacker, като го инжектира в легитимен процес на Windows, известен като InstalUtil.exe.

Стелт режим: Как MassJacker избягва откриването

За да избегне откриването, злонамереният софтуер използва множество техники за прикриване, включително:

• JIT Hooking : Модифицира компилацията Just-In-Time (JIT), за да избегне анализа.
• Метаданни Token Mapping : Скрива извикванията на функции, за да направи анализа по-труден.
• Персонализирано изпълнение на виртуална машина : Вместо да изпълнява стандартен .NET код, той изпълнява команди през виртуална машина, за да предотврати откриването.

Освен това MassJacker идва със свои собствени механизми за отстраняване на грешки, което прави анализирането още по-трудно за изследователите по сигурността.

Как MassJacker събира криптовалута

Веднъж активиран, MassJacker непрекъснато наблюдава клипборда на жертвата. Той сканира копиран текст с помощта на регулярни изрази, за да открие адреси на портфейли за криптовалута. Ако открие съвпадение, зловредният софтуер заменя копирания адрес на портфейла с такъв от предварително изтеглен списък, контролиран от нападателите.

MassJacker се свързва с отдалечен сървър, за да извлече актуализиран списък с адреси на портфейли, като гарантира, че откраднатите средства продължават да текат в акаунти, контролирани от киберпрестъпници.

Смайващият мащаб на атаката

Изследователите са идентифицирали над 778 531 уникални адреса на портфейла, свързани с нападателите. Въпреки това, само 423 от тези портфейли в момента държат средства на обща стойност приблизително $95 300. Преди средствата да бъдат прехвърлени, нападателите са натрупали около $336 700 в откраднати цифрови активи.

Един портфейл, свързан с кампанията, съдържа приблизително $87 000 (600 SOL), с над 350 транзакции, насочващи средства в него от различни компрометирани адреси.

Кой стои зад MassJacker?

Самоличността на киберпрестъпниците зад MassJacker остава неизвестна. Въпреки това, изследователите са открили прилики между MassJacker и друг зловреден софтуер, наречен MassLogger, който също използва JIT закачане, за да устои на анализа. Това предполага възможна връзка между двете заплахи или споделен фон на развитие.

Бъдете в безопасност: Как да се предпазите

• Избягвайте да изтегляте пиратски софтуер – много нелегални софтуерни сайтове служат като платформи за доставка на зловреден софтуер.
• Използвайте силен софтуер за сигурност – надежден инструмент за откриване на злонамерен софтуер може да помогне за откриване на заплахи, преди да причинят вреда.
• Двойна проверка на адресите на портфейлите – Винаги проверявайте ръчно адресите на портфейлите, преди да прехвърлите криптовалута.
• Поддържайте софтуера актуализиран – Редовните актуализации гарантират, че уязвимостите са коригирани, намалявайки риска от инфекции със зловреден софтуер.

Тъй като киберпрестъпниците продължават да развиват своите тактики, информираността и предпазливостта са най-добрата защита срещу заплахи като MassJacker.