Microsoft, yeni bir dizi kripto madenciliği saldırısının yüksek performanslı bilgisayar kullanıcılarına, özellikle donanım tutkunlarına ve PC oyuncularına odaklandığını ortaya koydu. Önceki saldırıların büyük ölçekli bulaşmayı hedeflemesinin aksine, bu saldırı tek bir cihazın hesaplama gücünden maksimum verim elde etmeyi hedefliyor ve yasadışı madencilik için yüksek端 GPU kaynaklarını kullanmayı amaçlıyor.
AI sohbet botları ve arama sonuçları ile trafiği çekin
Microsoft Defender uzmanları, saldırganların arama motoru optimizasyonu zehirlemesini kullanarak ve kötü amaçlı bağlantıları büyük dil modelleri sohbet botlarının yanıtlarına gömmesi gerektiğini belirtti. Kullanıcılar, yaygın sistem araçlarını veya donanım testi yazılımlarını indirmek istediklerinde, benzer görünümlü sahte sitelere yönlendiriliyor.
Kullanılan sahte yazılımlar arasında CrystalDiskInfo, HWMonitor, FurMark yer alıyor. Kullanıcılar indirdikten sonra normal kurulum dosyaları yerine zararlı dosyalar içeren ZIP sıkıştırılmış dosyalar alıyorlar.
Madencilik programını sistem aracılığıyla gizleyin
Zararlı dosya çalıştırıldığında, sistemde DLL yan yükleme yoluyla sessizce başlatılır. Daha sonra saldırı zinciri, saldırganların kurban cihazına sürekli erişimini sağlamak için ScreenConnect gibi legítim uzaktan yönetim araçlarını dağıtır.
Microsoft, saldırganların "işlem delik açma" gibi teknikler de kullandığını belirtti. Özel olarak hazırlanmış bir .NET yükü, Microsoft'un imzaladığı bir Windows aracını başlatır ve ardından madencilik kodunu bellek alanına enjekte ederek tespit edilme olasılığını azaltır.
Gözlemden kaçmak için GPU kullanımını izleyin
Bu tür bir atak, GPU kullanımını ve kullanıcı boşluk süresini dahil olmak üzere ana bilgisayar durumunu sürekli izler. Sistem yükü arttığında veya kullanıcı bilgisayarı kullanıyorsa, madencilik programı otomatik olarak durdurulur, böylece mağdurlar performans aniden düşüşünü fark etmez.
Aynı zamanda, zararlı yazılım, ilgili yolları antivirüs hariç tutma listesine eklemek için Windows PowerShell'i tekrar tekrar çağırır ve var kalma süresini uzatır.
Microsoft, Microsoft Defender Antivirus ve Microsoft Defender for Endpoint'in bu saldırı dalgasıyla ilgili tehditleri tanımlayıp engellediğini belirtti.