Через пиратские версии игр хакеры "майнят" криптовалюту

Исследователи обнаружили, что новое вредоносное ПО для криптоджекинга Monero, распространяемое через «взломанные» версии популярных онлайн-игр, уничтожает антивирусные программы (AV) и тайно добывает криптовалюту в более чем десятке стран.

Вредоносная программа под названием Crackonosh, активная с июня 2018 года, скрывается в пиратских версиях Grand Theft Auto V, NBA 2K19 и Pro Evolution Soccer 2018, которые геймеры могут бесплатно скачать на форумах, согласно отчету, опубликованному в четверг в Интернете исследователями Avast. Название означает «горный дух» в чешском фольклоре, что является отсылкой к убеждению исследователей в том, что создатели вредоносного ПО являются выходцами из Чехии.

Взломанное программное обеспечение - это версия коммерческого программного обеспечения, которое часто предлагается бесплатно, но часто с уловкой - код программного обеспечения был изменен, как правило, для вставки вредоносного ПО или для какой-либо другой цели, полезной для того, кто его взломал.

Вектор заражения вредоносной программой работает следующим образом: сначала кто-то загружает и устанавливает взломанное программное обеспечение, установщик которого запускает maintenance.vbs. Это запускает процесс установки с помощью serviceinstaller.msi, который регистрирует и запускает основной исполняемый файл вредоносной программы - serviceinstaller.exe.
Этот исполняемый файл передает другой файл StartupCheckLibrary.DLL, который затем загружает и запускает wksprtcli.dll. Этот файл извлекает более новую версию winlogui.exe и удаляет файлы winscomrssrv.dll и winrmsrv.exe, которые он содержит, расшифровывает и помещает в папку.

По словам исследователей, исследователи выявили 30 различных версий serviceinstaller.exe, начиная с 31 января 2018 года по 23 ноября 2020 года. Они написали, что этот основной исполняемый файл вредоносной программы запускается из раздела реестра, созданного Maintenance.vbs.
На данный момент не известно как бороться с данной проблемой.