Вредоносное ПО MassJacker
Исследователи кибербезопасности выявили новую вредоносную кампанию, нацеленную на пользователей, ищущих пиратское ПО. Атака доставляет ранее недокументированную вредоносную программу-клипер под названием MassJacker, предназначенную для кражи криптовалюты путем манипулирования данными буфера обмена.
Оглавление
Как работает MassJacker: вредоносная угроза Clipper
Вредоносное ПО Clipper — это опасная киберугроза, которая отслеживает активность буфера обмена жертвы. Когда пользователь ПК копирует адрес криптовалютного кошелька, вредоносное ПО заменяет его на адрес, контролируемый злоумышленником, перенаправляя средства киберпреступникам вместо предполагаемого получателя.
Pesktop.com: ворота к инфекции
Цепочка заражения начинается с Pesktop.com, веб-сайта, маскирующегося под источник пиратского ПО. Однако пользователи, загружающие с этого сайта, неосознанно получают вместе с желаемым ПО различные типы вредоносного ПО.
Как только пользователь запускает начальный исполняемый файл, он запускает скрипт PowerShell, который загружает вредоносное ПО ботнета под названием Amadey, а также два двоичных файла .NET, разработанных как для 32-битной, так и для 64-битной архитектуры. Эти двоичные файлы под кодовым названием PackerE загружают зашифрованную DLL, которая затем запускает полезную нагрузку MassJacker, внедряя ее в легитимный процесс Windows, известный как InstalUtil.exe.
Режим невидимости: как MassJacker избегает обнаружения
Чтобы избежать обнаружения, вредоносная программа использует несколько методов обфускации, в том числе:
- JIT-подключение : изменяет компиляцию Just-In-Time (JIT), чтобы избежать анализа.
- Сопоставление токенов метаданных : скрывает вызовы функций, чтобы усложнить анализ.
- Выполнение настраиваемой виртуальной машины : вместо запуска стандартного кода .NET он выполняет команды через виртуальную машину, чтобы предотвратить обнаружение.
Кроме того, MassJacker оснащен собственными механизмами противодействия отладке, что еще больше усложняет его анализ для исследователей безопасности.
Как MassJacker собирает криптовалюту
После активации MassJacker непрерывно отслеживает буфер обмена жертвы. Он сканирует скопированный текст с помощью регулярных выражений для обнаружения адресов криптовалютных кошельков. Если вредоносная программа находит совпадение, она заменяет скопированный адрес кошелька на один из предварительно загруженного списка, контролируемого злоумышленниками.
MassJacker связывается с удаленным сервером, чтобы получить обновленный список адресов кошельков, гарантируя, что украденные средства продолжат поступать на счета, контролируемые киберпреступниками.
Ошеломляющий масштаб атаки
Исследователи выявили более 778 531 уникальных адресов кошельков, связанных с атакующими. Однако только 423 из этих кошельков в настоящее время содержат средства на общую сумму около $95 300. До того, как средства были переведены, атакующие накопили около $336 700 украденных цифровых активов.
На одном кошельке, связанном с кампанией, хранится около 87 000 долларов США (600 сольных соль), и на него было совершено более 350 транзакций с различных взломанных адресов.
Кто стоит за MassJacker?
Личность киберпреступников, стоящих за MassJacker, остается неизвестной. Однако исследователи обнаружили сходство между MassJacker и другим вредоносным ПО под названием MassLogger, которое также использует JIT-подключение для сопротивления анализу. Это предполагает возможную связь между двумя угрозами или общую предысторию разработки.
Берегите себя: как защитить себя
- Избегайте загрузки пиратского программного обеспечения . Многие сайты с нелегальным программным обеспечением служат платформами для доставки вредоносного ПО.
- Используйте надежное защитное программное обеспечение . Надежный инструмент обнаружения вредоносных программ поможет обнаружить угрозы до того, как они причинят вред.
- Дважды проверяйте адреса кошельков . Всегда вручную проверяйте адреса кошельков перед переводом криптовалюты.
- Регулярно обновляйте программное обеспечение . Регулярные обновления обеспечивают устранение уязвимостей, что снижает риск заражения вредоносным ПО.
Поскольку киберпреступники продолжают совершенствовать свою тактику, лучшая защита от таких угроз, как MassJacker, — это быть информированным и осторожным.
