كشفت مايكروسوفت عن موجة جديدة من هجمات تعدين العملات المشفرة تستهدف مستخدمي أجهزة الكمبيوتر عالية الأداء، خاصةً محبي الأجهزة ولاعبي أجهزة الكمبيوتر. وعلى عكس الهجمات السابقة التي تسعى إلى التأثير على نطاق واسع، تركز هذه الهجمات على إنتاجية الحوسبة لكل جهاز، بهدف استغلال موارد وحدات معالجة الرسومات عالية الأداء لأغراض تعدين غير قانونية.
استخدام روبوتات الدردشة بالذكاء الاصطناعي ونتائج البحث لجذب الزوار
يقول خبراء Microsoft Defender إن المهاجمين يستخدمون تسميم تحسين محركات البحث لإدخال روابط ضارة في إجابات روبوتات الدردشة القائمة على نماذج اللغة الكبيرة. يُوجه المستخدمون، الذين كانوا يهدفون فقط إلى تنزيل أدوات نظام شائعة أو برامج اختبار الأجهزة، إلى مواقع مزيفة تبدو مشابهة.
تشمل البرامج التي تم استغلالها من قبل المحتالين CrystalDiskInfo و HWMonitor و FurMark. بعد تنزيلها، لا يحصل المستخدمون على حزمة تثبيت طبيعية، بل على ملف ZIP مضغوط يحتوي على ملفات ضارة.
إخفاء برنامج التعدين عبر أدوات النظام
بعد تشغيل الملف الضار، سيقوم بتشغيل نفسه سراً في النظام باستخدام تحميل DLL. بعد ذلك، ستُنشر سلسلة الهجوم أدوات إدارة عن بُعد قانونية مثل ScreenConnect للسماح للمهاجمين بالتحكم المستمر في الأجهزة المتضررة.
وأشار مايكروسوفت إلى أن المهاجمين استخدموا أيضًا تقنيات مثل "نحت العملية". حيث يبدأ حمل .NET مخصص أولاً بأدوات ويندوز موقعة من مايكروسوفت، ثم يحقن كود التعدين في مساحة الذاكرة الخاصة بها، وذلك لتقليل احتمالية اكتشافه.
مراقبة استخدام GPU لتجنب الكشف
يقوم هذا النوع من البرامج الخبيثة بمراقبة حالة المضيف باستمرار، بما في ذلك استخدام GPU ووقت فراغ المستخدم. بمجرد ارتفاع عبء النظام أو استخدام المستخدم للحاسوب، يتوقف برنامج التعدين تلقائيًا لتجنب كشف الضحية بانخفاض مفاجئ في الأداء.
في الوقت نفسه، سيقوم البرنامج الضار بدعوة متكررة لـ Windows PowerShell محاولاً إضافة المسارات ذات الصلة إلى قائمة الاستثناءات في برامج مكافحة الفيروسات، مما يطيل من فترة بقائه.
أعلنت مايكروسوفت أن Microsoft Defender Antivirus و Microsoft Defender for Endpoint قادران على التعرف على التهديدات المرتبطة بهذه الموجة من الهجمات وحظرها.