В Microsoft Store нашли майнеры

Программы, размещенные в Microsoft Store, запускали на компьютере скрипт Coinhive для генерации Monero.

Восемь приложений из магазина приложений Windows содержали вредоносные инжекты, предназначенные для запуска криптомайнера. По мнению ИБ-специалистов компании Symantec, которые обнаружили программы, все они созданы одним автором или криминальной группой. Получив информацию от исследователей, модераторы удалили проблемные утилиты из хранилища.

В сферу внимания аналитиков попали программы, разработанные компаниями Findoo, DigiDream и 1clean. Они были предназначены для работы в среде Windows 10 и могли быть запущены в S-режиме, допускающем выполнение только утилит, загруженных из Microsoft Store.

Как выяснили исследователи, код майнера размещался на внешнем сервере и активировался через Диспетчер тегов Google (Google Tag Manager, GTM) — легитимный сервис, предназначенный для управления метками систем веб-аналитики. Он позволяет внедрять в код программы сторонний сценарий через метку, ссылающуюся на собственный центральный сервер. Такая инъекция воспринимается защитными сканерами как безопасная, однако допускает дальнейшее обращение к другим ресурсам, в том числе вредоносным.

Программы запускали на устройстве вариант JavaScript-майнера Coinhive, хотя эта функциональность не заявлена разработчиками. Coinhive является одной из самых распространенных программ для скрытной добычи Monero — по данным декабрьского рейтинга компании Check Point, он занял первое место в списке актуальных киберугроз. Ученые Рейнско-Вестфальского технического университета Ахена считают, что суммарный ежемесячный объем криптовалюты, добываемой при помощи Coinhive, составляет не менее $250 тыс.

Как отмечают ИБ-аналитики, потенциально опасные Windows-приложения вызывали скрипт, не имеющий ограничений на использование ресурсов процессора. После запуска майнер захватывал все доступные вычислительные мощности компьютера и существенно замедлял его работу.

Проведя анализ трафика, исследователи установили, что серверы злоумышленников размещены на одном и том же хостинге, а их имена зарегистрированы в национальных доменных зонах Габона и Токелау. Программы появились в Microsoft Store в апреле — декабре прошлого года, однако сервис не предоставляет информации о том, сколько пользователей установили эти приложения. В данный момент они удалены из магазина Windows, а скрипты, которые они использовали, — из хранилища GTM.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля