Microsoft mengungkapkan bahawa satu siri serangan penambangan kripto yang baru ditemui sedang membidik pengguna komputer berprestasi tinggi, terutamanya peminat peranti keras dan pemain PC. Berbeza dengan serangan sebelumnya yang mengejar infeksi berskala besar, serangan kali ini lebih menekankan pada output pengiraan setiap peranti, dengan tujuan mengambil alih sumber GPU high-end untuk penambangan tidak sah.
Menggunakan bot perbualan AI dan keputusan carian untuk menarik lalu lintas
Pakar Microsoft Defender menyatakan bahawa penyerang sedang memanfaatkan racun SEO dan menyisipkan pautan jahat ke dalam jawapan bot perbualan model bahasa besar. Pengguna yang sepatutnya hanya ingin memuat turun alat sistem biasa atau perisian ujian peranti keras, malah diarahkan ke laman web palsu yang kelihatan serupa.
Perisian yang disalahgunakan secara palsu termasuk CrystalDiskInfo, HWMonitor, FurMark, dsb. Pengguna yang memuat turunnya tidak mendapat pemasang yang sah, tetapi fail ZIP yang mengandungi fail jahat.
Sembunyikan program penambangan melalui alat sistem
Setelah fail jahat dijalankan, ia akan menggunakan DLL side-loading untuk memulakan secara senyap dalam sistem. Selepas itu, rantai serangan akan menghantar alat pengurusan jauh sah seperti ScreenConnect untuk membolehkan penyerang mengawal peranti mangsa secara berterusan.
Microsoft menyatakan bahawa penyerang juga menggunakan teknik seperti "process hollowing". Sebuah beban .NET yang disesuaikan akan memulakan alat Windows yang ditandatangani oleh Microsoft, kemudian menyuntikkan kod penggalian ke dalam ruang memori ia, untuk mengurangkan kemungkinan terdeteksi.
Mengawasi penggunaan GPU untuk mengelakkan pemerhatian
Malware jenis ini akan memantau status hos secara berterusan, termasuk penggunaan GPU dan masa lapang pengguna. Apabila beban sistem meningkat atau pengguna sedang menggunakan komputer, program penambangan akan berhenti secara automatik untuk mengelakkan mangsa menyedari penurunan prestasi yang tiba-tiba.
Sementara itu, program jahat juga akan memanggil Windows PowerShell berulang kali untuk mencuba menambahkan laluan berkaitan ke dalam senarai pengecualian perisian anti-virus, untuk memperpanjang tempoh hayatnya.
Microsoft menyatakan bahawa Microsoft Defender Antivirus dan Microsoft Defender for Endpoint telah dapat mengenal pasti dan menghalang ancaman yang berkaitan dengan serangan ini.