Руткит скрывает криптомайнер из списка активных процессов

Вредоносная программа изменяет одну из библиотек в операционной системе Linux, чтобы обмануть жертву.

Необычный зловред попал в сети исследователей из TrendMicro. Специалисты обнаружили приложение для майнинга криптовалюты, которое использует руткит, чтобы скрыть свое присутствие в списке активных процессов. Таким образом злоумышленники пытаются затруднить обнаружение программы, потребляющей ресурсы центрального процессора. Скрипт атакует компьютеры под управлением Linux и, скорее всего, попадает в целевую систему с одним из сторонних плагинов, таких как ПО для воспроизведения потокового видео.

Атака начинается с доставки на компьютер загрузчика, который связывается с хранилищем в сервисе Pastebin, скачивает и выполняет скрипт оболочки. Она устанавливает на зараженное устройство макрос, отвечающий за развертывание и обновление криптомайнера. Полезная нагрузка попадает в целевую систему под видом JPG-файла, который в действительности является исполняемым модулем в формате ELF.

Программа для генерации цифровых денег пытается задействовать все доступные ресурсы центрального процессора и существенно замедляет работу компьютера. Чтобы скрыть присутствие зловреда, киберпреступники используют руткит, который удаляет криптомайнер из списка активных процессов, но оставляет его в памяти устройства.

Он представляет собой модифицированную версию макроса, доступного для скачивания в Интернете.

Руткит подменяет компонент readdir библиотеки libc, чтобы программы мониторинга процессов не видели зловред. Таким образом, жертва не сможет обнаружить и выгрузить криптомайнер, а индикатором заражения будет служить лишь полная загрузка центрального процессора.

Многофункциональные зловреды, способные генерировать цифровые деньги, уже попадали в сферу внимания ИБ-специалистов. Осенью этого года стало известно о программе XBash, совмещавшей в себе возможности бота, вымогателя, интернет-червя и майнера. Скрипт атаковал компьютеры под управлением Windows, macOS и Linux, используя подбор паролей и несколько эксплойтов для взлома сетевых баз данных.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля