Необычный зловред попал в сети исследователей из TrendMicro. Специалисты обнаружили приложение для майнинга криптовалюты, которое использует руткит, чтобы скрыть свое присутствие в списке активных процессов. Таким образом злоумышленники пытаются затруднить обнаружение программы, потребляющей ресурсы центрального процессора. Скрипт атакует компьютеры под управлением Linux и, скорее всего, попадает в целевую систему с одним из сторонних плагинов, таких как ПО для воспроизведения потокового видео.

Атака начинается с доставки на компьютер загрузчика, который связывается с хранилищем в сервисе Pastebin, скачивает и выполняет скрипт оболочки. Он устанавливает на зараженное устройство еще один скрипт, отвечающий за развертывание и обновление криптомайнера. Полезная нагрузка попадает в целевую систему под видом JPG-файла, который в действительности является исполняемым модулем в формате ELF.

Программа для генерации цифровых денег пытается задействовать все доступные ресурсы центрального процессора и существенно замедляет работу компьютера. Чтобы скрыть присутствие зловреда, киберпреступники используют руткит, который удаляет криптомайнер из списка активных процессов, но оставляет его в памяти устройства.

Он представляет собой модифицированную версию кода, доступного для скачивания в Интернете.

Руткит подменяет компонент readdir библиотеки libc, чтобы программы мониторинга процессов не видели зловред. Таким образом, жертва не сможет обнаружить и выгрузить криптомайнер, а индикатором заражения будет служить лишь полная загрузка центрального процессора.

Многофункциональные зловреды, способные генерировать цифровые деньги, уже попадали в сферу внимания ИБ-специалистов. Осенью этого года стало известно о программе XBash, совмещавшей в себе возможности бота, вымогателя, интернет-червя и майнера. Скрипт атаковал компьютеры под управлением Windows, macOS и Linux, используя подбор паролей и несколько эксплойтов для взлома сетевых баз данных.

Категории: Вредоносные программы