Η εταιρεία ασφαλείας στον κυβερνοχώρο ESET δημοσίευσε μια έκθεση που περιγράφει ένα νέο malware των Windows, το οποίο η εταιρεία ονόμασε KryptoCibule.
Η ESET λέει ότι το malware διανέμεται τουλάχιστον από τον Δεκέμβριο του 2018, αλλά τώρα έπεσε στην αντίληψη των ερευνητών.
Σύμφωνα με την εταιρεία, το KryptoCibule Windows malware στοχεύει χρήστες cryptocurrency. Τα βασικά χαρακτηριστικά του malware είναι:
- εγκατάσταση cryptocurrency miner στα συστήματα των θυμάτων
- κλοπή αρχείων που σχετίζονται με cryptocurrency πορτοφόλια
- αντικατάσταση διευθύνσεων πορτοφολιού στο clipboard του λειτουργικού συστήματος, για παραβίαση πληρωμών με cryptocurrency
Τα παραπάνω χαρακτηριστικά είναι αποτέλεσμα σκληρής δουλειάς των hackers, αφού έχουν προσθέσει νέα στοιχεία στον κώδικα του KryptoCibule malware σε σχέση με την πρώτη του έκδοση στα τέλη του 2018.
Aria: Ένα νέο επαναστατικό Robot Girlfriend
Σύμφωνα με την ESET, το malware έχει εξελιχθεί σε μια πολύπλοκη απειλή με πολλά χαρακτηριστικά και δυνατότητες.
Επί του παρόντος, το κακόβουλο λογισμικό διανέμεται μέσω αρχείων torrent για πειρατικό λογισμικό. Η ESET λέει ότι οι χρήστες που κατεβάζουν αυτά τα torrents, θα εγκαταστήσουν το πειρατικό λογισμικό που ήθελαν, αλλά θα τρέξουν επίσης το installer του KryptoCibule Windows malware.
Αυτό το installer προσπαθεί να μείνει για αρκετό διάστημα στο σύστημα και, στη συνέχεια, εγκαθιστά τον πυρήνα του KryptoCibule malware (ο εκκινητής), τη λειτουργία OS clipboard hijacker και Tor και torrent clients.
Η ESET λέει ότι το KryptoCibule χρησιμοποιεί το Tor client για ασφαλή επικοινωνία με τους command-and-control (C&C) servers, που φιλοξενούνται στο dark web, ενώ ο torrent client χρησιμοποιείται για τη φόρτωση torrent αρχείων που τελικά θα κατεβάσουν άλλα πρόσθετα εργαλεία, όπως proxy servers, crypto-mining εργαλεία και HTTP και SFT servers, όλα χρήσιμα για μία ή περισσότερες εργασίες στο modus operandi του KryptoCibule Windows malware.
Το KryptoCibule είναι επικίνδυνο για τους χρήστες cryptocurrency, καθώς έχει σχεδιαστεί από άτομα με γνώση των σύγχρονων λειτουργιών κακόβουλου λογισμικού.
Τα καλά νέα είναι ότι προς το παρόν η διανομή του KryptoCibule έχει περιοριστεί σε δύο μόνο χώρες, την Τσεχική Δημοκρατία και τη Σλοβακία.
Οι ερευνητές της ESET λένε ότι σχεδόν όλα τα κακόβουλα torrents που διανέμουν πειρατικό λογισμικό με το KryptoCibule ήταν διαθέσιμα μόνο στο uloz.to, έναν δημοφιλή ιστότοπο κοινής χρήσης αρχείων στις δύο χώρες.
Αυτή η περιορισμένη διανομή φαίνεται να είναι κάτι που είχε προγραμματιστεί από την αρχή, καθώς το KryptoCibule Windows malware περιέχει μια δυνατότητα που ελέγχει την παρουσία λογισμικών προστασίας από ιούς στον υπολογιστή του θύματος. Αυτό το malware φαίνεται να ελέγχει μόνο την παρουσία των ESET, Avast και AVG. Και οι τρεις εταιρείες ασφαλείας εδρεύουν είτε στην Τσεχική Δημοκρατία είτε στη Σλοβακία και πιθανότατα βρίσκονται στους υπολογιστές των περισσότερων στοχευμένων χρηστών.
Ωστόσο, το malware στοχεύει συγκεκριμένη περιοχή τώρα, αλλά αυτό μπορεί να αλλάξει.
Οι χρήστες πρέπει να παραμείνουν σε εγρήγορση και ο απλούστερος τρόπος να αποφύγουν μια απειλή όπως το KryptoCibule Windows malware είναι η αποφυγή εγκατάστασης πειρατικού λογισμικού. Τα περισσότερα torrent αρχεία για πειρατικό λογισμικό είναι συχνά συνδυασμένα με malware.
