Les chercheurs ont découvert une souche de malware d’extraction de crypto-monnaie qui abuse du mode sans échec de Windows lors d’attaques.
Le malware, surnommé Crackonosh par des chercheurs d’Avast, se propage via des logiciels piratés et piratés, souvent trouvés via des torrents, des forums et des sites Web « warez ».
Après avoir trouvé des rapports sur les utilisateurs d’antivirus Reddit d’Avast interrogeant la perte soudaine du logiciel antivirus de leurs fichiers système, l’équipe a mené une enquête sur la situation, réalisant qu’elle était due à une infection par un logiciel malveillant.
Crackonosh est en circulation depuis au moins juin 2018. Une fois qu’une victime exécute un fichier qu’elle pense être une version crackée d’un logiciel légitime, le malware est également déployé.
La chaîne d’infection commence par la suppression d’un programme d’installation et d’un script qui modifie le registre Windows pour permettre à l’exécutable principal du malware de s’exécuter en mode sans échec. Le système infecté est configuré pour démarrer en mode sans échec lors de son prochain démarrage.
« Tant que le système Windows est en mode sans échec, le logiciel antivirus ne fonctionne pas », déclarent les chercheurs. « Cela peut permettre au serviceinstaller.exe malveillant de désactiver et de supprimer facilement Windows Defender. Il utilise également WQL pour interroger tous les logiciels antivirus installés SELECT * FROM AntiVirusProduct. »
Crackonosh recherchera l’existence de programmes antivirus, notamment Avast, Kaspersky, le scanner de McAfee, Norton et Bitdefender, et tentera de les désactiver ou de les supprimer. Les fichiers du système de journal sont ensuite effacés pour couvrir ses traces.
De plus, Crackonosh tentera d’arrêter Windows Update et remplacera Windows Security par une fausse icône verte dans la barre d’état.
La dernière étape du voyage est le déploiement de XMRig, un mineur de crypto-monnaie qui exploite la puissance et les ressources du système pour exploiter la crypto-monnaie Monero (XMR).
Dans l’ensemble, Avast affirme que Crackonosh a généré au moins 2 millions de dollars pour ses opérateurs à Monero aux prix d’aujourd’hui, avec plus de 9 000 pièces XMR extraites.
Environ 1 000 appareils sont touchés chaque jour et plus de 222 000 machines ont été infectées dans le monde.
Au total, 30 variantes du malware ont été identifiées, la dernière version étant publiée en novembre 2020.
« Tant que les gens continueront de télécharger des logiciels piratés, des attaques comme celles-ci continueront et continueront d’être rentables pour les attaquants », déclare Avast. « La clé à retenir est que vous ne pouvez vraiment pas obtenir quelque chose pour rien et lorsque vous essayez de voler un logiciel, il y a de fortes chances que quelqu’un essaie de vous voler. »
Couverture antérieure et connexe
Vous avez un conseil ? Contactez-nous en toute sécurité via WhatsApp | Signalez au +447713 025 499, ou à Keybase : charlie0
