شناسایی بدافزار غیرعادی استخراج ارز رمزنگاری

شرکت امنیت سایبری ESET اعلام کرد بدافزار استخراج غیرمعمول و مقاوم ارزهای رمزنگاری را که از آگوست سال 2018 بر روی سیستم عامل های ویندوز و مکینتاش منتشر شده، شناسایی کرده است.

طبق گفته شرکت ESET، بدافزار جدید که LoudMiner نامگذاری شده است، از نرم افزار مجازی سازی برای استخراج ارز رمزنگاری در محیط Tiny Core Linux استفاده می کند.(VirtualBox در ویندوز و QEMU در مکینتاش). بنابراین به طور بالقوه پتانسیل آلوده کردن چند نوع سیستم عامل را دارد.

طبق گزارش، استخراج کننده خود از XMRig، که یک نرم افزار متن باز متمرکز بر استخراج آلت کوین های خصوصی مثل مونرو است، و یک استخر استخراج استفاده می کند. بنابراین تلاش محققان برای رهگیری تراکنش ها را مختل می کند.

این تحقیق نشان می دهد که در هر دو سیستم عامل ویندوز و مکینتاش، بدافزار استخراج کننده از برنامه های سرقتی که همراه با نرم افزار مجازی سازی هستند استفاده می کند و تنها یک تصویر از سیستم عامل لینوکس و فایل های اضافه را به کاربر ارائه می دهد.

پس از دانلود، بدافزار LoudMiner قبل از نرم افزار مورد نظر نصب شده و پنهان می شود و تنها پس از راه اندازی و ریبوت کردن فعال خواهد شد.

ESET خاطرنشان کرد که این بدافزار رایانه هایی را که دارای برنامه های صوتی هستند و معمولا در رایانه ها نیاز به قدرت پردازش زیاد دارد و بخش زیادی از CPU را اشغال می کند، هدف قرار می دهد. به این ترتیب استفاده زیاد از قدرت پردازش رایانه در زمان استخراج ارز، ممکن است کاربران رایانه را مشکوک نکند.

علاوه بر این به نظر می رسد مهاجمان از برنامه های بسیار پیچیده بهره می برند تا بتوانند ماشین های مجازی خود را پنهان کنند. محققان افزودند:

تصمیم به استفاده از ماشین های مجازی به جای راه حل های نادرست کاملا قابل توجه است و این چیزی نیست که به طور معمول شاهد آن باشیم.

محققان به عنوان یک هشدار به کاربران خود اعلام کردند که بدیهی است بهترین توصیه برای محافظت در برابر این نوع تهدید این است که از کپی های غیرمجاز نرم افزارها استفاده نکنید.

با این وجود، در کنار مصرف بالای CPU، کارشناسان به چند نکته دیگر که به تشخیص این بدافزارها کمک می کند اشاره کردند. از جمله اخطارهایی که در مورد نصب برنامه های غیرمجاز برای کاربر نمایش داده می شود. همچنین متصل شدن شبکه به دامنه هایی با آدرس های غیرعادی که به علت اسکریپت های ماشین مجازی و برای به روز کردن تنظیمات بدافزار استخراج کننده به کار می رود را باید در نظر گرفت.

منابع:

• cointelegraph