Malware MassJacker

Cercetătorii în domeniul securității cibernetice au dezvăluit o nouă campanie de malware care vizează utilizatorii care caută software piratat. Atacul generează un malware de tăiere nedocumentat anterior numit MassJacker, conceput pentru a fura criptomonede prin manipularea datelor din clipboard.

Cum funcționează MassJacker: amenințarea malware Clipper

Malware Clipper este o amenințare cibernetică amenințătoare care monitorizează activitatea clipboard-ului unei victime. Când un utilizator de computer copiază o adresă de portofel de criptomonede, malware-ul o înlocuiește cu o adresă controlată de atacator, redirecționând fondurile către infractorii cibernetici în locul destinatarului vizat.

Pesktop.com: O poartă către infecție

Lanțul de infecție începe cu Pesktop.com, un site mascalat ca o sursă de software piratat. Cu toate acestea, utilizatorii care descarcă de pe acest site primesc, fără să știe, diverse tipuri de malware împreună cu software-ul dorit.

Odată ce un utilizator rulează executabilul inițial, declanșează un script PowerShell care descarcă un program malware pentru botnet numit Amadey, împreună cu două binare .NET concepute atât pentru arhitecturi pe 32 de biți, cât și pentru 64 de biți. Aceste fișiere binare, cu nume de cod PackerE, descarcă un DLL criptat, care apoi lansează încărcătura utilă MassJacker prin injectarea acesteia într-un proces Windows legitim cunoscut sub numele de InstalUtil.exe.

Modul Stealth: cum MassJacker evită detectarea

Pentru a evita detectarea, malware-ul folosește mai multe tehnici de ofuscare, inclusiv:

• JIT Hooking : modifică compilarea Just-In-Time (JIT) pentru a evita analizele.
• Maparea jetoanelor metadatelor : ascunde apelurile de funcții pentru a îngreuna analiza.
• Execuție personalizată a mașinii virtuale : În loc să ruleze codul standard .NET, execută comenzi printr-o mașină virtuală pentru a preveni detectarea.

În plus, MassJacker vine cu propriile mecanisme anti-depanare, ceea ce face și mai greu de analizat de către cercetătorii de securitate.

Cum colectează MassJacker criptomonede

Odată activ, MassJacker monitorizează continuu clipboard-ul unei victime. Scanează textul copiat folosind expresii obișnuite pentru a detecta adresele portofelului cu criptomonede. Dacă găsește o potrivire, malware-ul înlocuiește adresa de portofel copiată cu una dintr-o listă pre-descărcată controlată de atacatori.

MassJacker contactează un server de la distanță pentru a prelua o listă actualizată de adrese de portofel, asigurându-se că fondurile furate continuă să curgă în conturile controlate de infractorii cibernetici.

Scara uluitoare a atacului

Cercetătorii au identificat peste 778.531 de adrese de portofel unice asociate atacatorilor. Cu toate acestea, doar 423 dintre aceste portofele dețin în prezent fonduri în valoare totală de aproximativ 95.300 USD. Înainte ca fondurile să fie transferate, atacatorii adunaseră aproximativ 336.700 de dolari în active digitale furate.

Un singur portofel conectat la campanie deține aproximativ 87.000 USD (600 SOL), cu peste 350 de tranzacții care direcționează fonduri în el de la diverse adrese compromise.

Cine se află în spatele MassJacker?

Identitatea criminalilor cibernetici din spatele MassJacker rămâne necunoscută. Cu toate acestea, cercetătorii au găsit asemănări între MassJacker și un alt malware numit MassLogger, care folosește, de asemenea, conectarea JIT pentru a rezista analizei. Acest lucru sugerează o posibilă legătură între cele două amenințări sau un fundal de dezvoltare comun.

Rămâi în siguranță: cum să te protejezi

• Evitați descărcarea de software piratat – Multe site-uri de software ilegale servesc ca platforme de livrare pentru malware.
• Utilizați un software de securitate puternic – Un instrument de detectare anti-malware de încredere poate ajuta la identificarea amenințărilor înainte ca acestea să provoace vătămări.
• Verificați adresele portofelului – verificați întotdeauna manual adresele portofelului înainte de a transfera criptomonede.
• Păstrați software-ul actualizat – Actualizările regulate asigură că vulnerabilitățile sunt corectate, reducând riscul infecțiilor cu malware.

Pe măsură ce infractorii cibernetici continuă să-și evolueze tacticile, a rămâne informați și precauți este cea mai bună apărare împotriva amenințărilor precum MassJacker.