Обнаружен работающий в памяти «крипточервь» для Windows

Итальянский исследователь Марко Рамилли (Marco Ramilli) опубликовал результаты анализа необычного сетевого червя, ворующего пароли и устанавливающего майнер криптовалюты Monero, сообщает Threatpost.

Характерными особенностями нового Windows-зловреда также являются сложный процесс заражения, использование эксплойтов и работа без записи файлов на диск.

Как показало тестирование, при запуске вредоносный файл y1.bat загружает с китайского сервера и запускает дроппер info6.ps1 — сильно обфусцированный скрипт PowerShell, состоящий из трех модулей:

- Mimikatz.dll;
- набор утилит для деобфускации, сканирования локальных сетей, активации эксплойтов и т.п., а также для загрузки и запуска майнера;
- набор эксплойтов EternalBlue.

Использование Mimikatz позволяет «крипточервю» (all in memory CryptoWorm), как его называет Рамилли, украсть пароли пользователей Windows. После этого он ищет в той же сети устройства, уязвимые к атакам на SMB (патчи MS17-010 были выпущены Microsoft еще в марте), и, найдя таковые, применяет эксплойты для дальнейшего распространения инфекции.

На последнем этапе атаки новоявленный червь загружает и запускает на исполнение файл info.vbs, опознанный как дроппер XMRig — доступной на Github программы с открытым исходным кодом для майнинга Монеро.

Как отмечают эксперты, примечательно, что XMRig помещается непосредственно в память зараженной системы.


Автор: Softodrom.ru
Дата: 04.10.2017
https://news.softodrom.ru/ap/b ... shtml

_________________
Добре спозаранку-надобранич щеневмерлие патриоти-ватобори, кримоблокувадники, ганьбапереможники та бандугетьмани! ТАК!

Чо?

_________________
--------------------------
С Уважением, Голд.

Кто-то занимается майнингом на наших компах и не делится с нами доходами

_________________
Quod licet Jovi, поп licet bovi
Где труп, там соберутся и орлы

Ганьба.
Я не помню, когда комп послпдний раз включал.

_________________
--------------------------
С Уважением, Голд.

А у меня кто-то роет.

_________________
Quod licet Jovi, поп licet bovi
Где труп, там соберутся и орлы

Домохозяйки, грудные младенцы и их домашние питомцы, а так же аутисты и дауны, юзающие систему для овец домохозяек от Мелкософта,
желают делиться с кетайцями и хакерами частью своего материального благополучия.

Не находите ли вы, что это очень похвальное и человеколюбивое желание ?

Конечно похвальное! Надо будет купить хорошую карту для облегчения шахтного труда копателей. И тормозить комп может стать меньше.

_________________
Quod licet Jovi, поп licet bovi
Где труп, там соберутся и орлы

Да я сам, блин, старый вредоносчег! Копаю под любого! СТОЯТЬ!!! А-А-А-А-А!!!!!

Тоже мне новость Уже JS в бразере майнит. Тащат по линкам рекламодателей.

Ты на Ваганьковском копаешь?

_________________
Добре спозаранку-надобранич щеневмерлие патриоти-ватобори, кримоблокувадники, ганьбапереможники та бандугетьмани! ТАК!

Да я объявляю тебе як пайщег-вкладчег!

Теперь он пожрет все твои волнушке ! Коля он такой !

Я иму настучу по макушке!

_________________
Добре спозаранку-надобранич щеневмерлие патриоти-ватобори, кримоблокувадники, ганьбапереможники та бандугетьмани! ТАК!

А че, линуксов с открытым smb1 нет?

А причем здесь самба ?
Или у вас есть проблемы с пониманием самого первого поста в этой ветке ?

Нет проблем. Данный червь использует уязвимость первой самбы.
Линукс просто мало распространен, поэтому под него эксплойты просто впадлу людям писать. А так уязвимости примерно те же.

Ты так ничего и не понял.
Данный червь попытается передать управление положеному через уязвимость bat файлу, сценарию powershell, как ты думвешь, батники линух выполняет ?
Далее будут подтягиваться .dll - запустится ли в линухе маздаевская dll ?
Ну и так далее...

Мля, ну данный червь использует конуретную библиотеку, но проблема ж шире...

>> После этого он ищет в той же сети устройства, уязвимые к атакам на SMB

Короче алгоритм такой же тупой, как у вонакрая.

Вот методом Пети он распространяться не умеет. А Петя реально использовал фирменные майкрософтовские дыры, в линуксе такое невозможно.

Разумеется, есть идиоты, не ставившие обновления, использующие в линухе smb v1 вместо NFS,
расшаривающие самбовские папки для любого, и не прикрывающие порты в интернет.
Может, каждый тысячный линух и уязвим. Но не для заражения, а для записи дерьма в расшареный раздел.

Но у овец уязвим, в самом оптимистическом случае, каждый третий таз c маздайкой.