Хакеры спрятали троян в меню «Пуск»: заражены тысячи компьютеров

Хакеры прячут вирусы под меню «Пуск» и «Проводником»: компьютеры россиян под угрозойХакеры прячут вирусы под меню «Пуск» и «Проводником»: компьютеры россиян под угрозой. По меньшей мере 28 тыс. пользователей стали жертвами киберпреступников. Злоумышленники распространяли архивы с трояном, который маскировался под меню «Пуск». Вирус использует компьютер пользователя для майнинга или же крадет цифровые сбережения, в том числе с криптокошельков.

Александр Куманев

Киберпреступники распространяют вредоносное ПО для майнинга и кражи криптовалюты через GitHub (запрещено правилами площадки) и YouTube, используя в качестве приманки офисные программы, читы и боты для трейдинга, сообщают специалисты Dr.Web.

Злоумышленники распространяют самораспаковывающиеся архивы с паролем, чтобы предотвратить автоматическое сканирование.

В конечном итоге троян маскируется под системные компоненты ОС Windows, которые выступают в качестве триггеров. Один из них — меню «Пуск» (StartMenuExperienceHost.exe). При нажатии активируются два процесса: легитимный и вредоносный.

Подробнее о кибератаке

После распаковки запускается многоступенчатая атака, включающая подмену системных файлов, обфускацию кода и использование сетевой утилиты Ncat для загрузки дополнительных вредоносных компонентов. Вирус использует технику IFEO для запуска вместе с доверенными программами, в том числе системными службами, а также внедряет вредоносные DLL в процесс explorer.exe с помощью Process Hollowing. Один из компонентов маскируется под легитимный процесс StartMenuExperienceHost.exe.

Для скрытого майнинга, кражи криптовалют, в том числе для подмены номера кошелька в буфере обмена, задействованы файлы, встраивающиеся в процесс explorer.exe — Проводник в ОС Windows. Майнер злоумышленников обладает обширными возможностями настройки и маскировки процессов, а среди его функций присутствует удаленное управление.

Киберпреступники распространяют ссылки на архивы с вредоносным кодом через GitHub и YouTubeКиберпреступники распространяют ссылки на архивы с вредоносным кодом через GitHub и YouTube. Фото: Dr.Web

«Всего от действий киберпреступников пострадало более 28 тысяч человек, превалирующее большинство из которых являются жителями России. Также, значимые цифры заражений наблюдаются в Беларуси, Узбекистане, Казахстане, Украине, Кыргызстане и Турции», — рассказали специалисты компании «Доктор Веб».

Эксперты подчеркнули, что злоумышленники пытаются распространить архивы с вредоносным содержимым, предлагая скачать пиратские версии популярных программ. Специалисты советуют скачивать ПО из официальных источников, использовать программы-аналоги с открытым исходным кодом, а также не забывать об антивирусе.

Источник материала о фото