Microsoft сообщила, что новая волна атак на криптовалютную майнинг-деятельность нацелена на пользователей высокопроизводительных компьютеров, в частности на энтузиастов оборудования и геймеров на ПК. В отличие от предыдущих атак, нацеленных на масштабное заражение, эта атака ориентирована на извлечение максимальной вычислительной мощности с одной машины, с целью незаконного майнинга за счет использования высокопроизводительных GPU.
Привлечение трафика с помощью AI-чата и результатов поиска
Эксперты Microsoft Defender сообщают, что злоумышленники используют SEO-отравление и встраивают вредоносные ссылки в ответы чат-ботов на основе больших языковых моделей. Пользователи, которые изначально хотели загрузить распространенные системные инструменты или программное обеспечение для тестирования оборудования, перенаправляются на поддельные сайты, внешне похожие на настоящие.
Софт, которым злоупотребляют в маскировке: CrystalDiskInfo, HWMonitor, FurMark и др. После загрузки пользователи получают не обычные установочные файлы, а ZIP-архивы с вредоносными файлами.
Скрыть майнер с помощью системных инструментов
После запуска вредоносного файла он тайно запускается в системе с помощью DLL-подгрузки. Затем цепочка атаки развертывает легальные инструменты удаленного управления, такие как ScreenConnect, чтобы обеспечить постоянный контроль над зараженным устройством.
Microsoft сообщает, что злоумышленники также использовали такие методы, как «процессное вырезание». Пользовательский .NET-полезная нагрузка сначала запускает инструмент Windows с цифровой подписью Microsoft, а затем внедряет код для майнинга в его пространство памяти, чтобы снизить вероятность обнаружения.
Мониторинг загрузки GPU для избежания обнаружения
Этот троян постоянно отслеживает состояние хоста, включая использование GPU и время бездействия пользователя. Как только нагрузка на систему возрастает или пользователь активно использует компьютер, майнер автоматически останавливается, чтобы жертва не заметила резкого падения производительности.
В то же время вредоносная программа многократно вызывает Windows PowerShell, пытаясь добавить соответствующие пути в исключения антивирусного программного обеспечения, чтобы продлить время существования.
Microsoft заявила, что Microsoft Defender Antivirus и Microsoft Defender for Endpoint уже могут распознавать и блокировать угрозы, связанные с этой атакой.