Seit einem Jahr beobachtet Quick Heal Security Labs einen Anstieg der Anzahl von Mining-Malware. Heutzutage nutzen Malware-Autoren Mining als Ersatz für Ransomware, um Geld zu verdienen.
Kürzlich stießen die Quick Heal Security Labs auf eine Malware, die Monero (XMR) schürft. Dieser Miner enthält viele verschiedene Komponenten. Der Infektionsweg dieser Mining-Malware ist noch nicht bestätigt, aber laut Quellen gelangt der Miner über Spear-Phishing, Malvertising usw. ins System.
Technische Analyse :
Analyzed Miner ist eine selbstextrahierende ausführbare Datei ( SFX ). Sie extrahiert die Komponenten unter „ C:\Program Files\Windriverhost “, wie unten aufgeführt:
- vbs (VBScript)
- exe (Extraktionsprogramm)
- rar (Passwortgeschütztes Archiv)
- bat (Batch-Datei)
Nach dem Extrahieren der Komponenten wird VBScript (jsnel.vbs) wie in Abb. 2 gezeigt gestartet.
jsnel.vbs enthält einen einfachen Codeabschnitt zum Starten von chax.bat.
rar.exe ist ein Kommandozeilenprogramm zum Entpacken von Archiven. Hier wird es verwendet, um die passwortgeschützte Datei db.rar zu entpacken.
Die Datei chax.bat enthält Befehle zum Löschen alter Versionen von Komponenten des passwortgeschützten Archivs und von Malware, wie in Abb. 4 dargestellt.
Eine wichtige Aufgabe von chax.bat ist es, die unten genannten Komponenten aus db.rar am aktuellen Speicherort zu extrahieren und ouyk.vbs zu starten.
- vbs (VBScript)
- bat (Batch-Datei)
- json (Konfigurationsdatei)
- driverhost.exe (Mining-Tool)
Ähnlich wie das vorherige VBScript (jsnel.vbs) startet auch dieses Skript (ouyk.vbs) nur die Batchdatei (xvvq.bat).
xvvq.bat hat zwei Hauptzwecke:
- Um das System immer eingeschaltet zu halten, verwenden Sie PowerCFG Befehl, damit der Bergbau nicht unterbrochen wird.
“ powercfg -change -standby-timeout-ac 0 ”
- So verbergen Sie driverhost.exe vor Analysetools:
Es listet Prozesse mithilfe des Befehls tasklist auf , um zu prüfen, ob einer der unten aufgeführten Prozesse ausgeführt wird, und beendet gegebenenfalls driverhost.exe.
„ taskmgr.exe “
„ perfmon.exe “
„ ProcessHacker.exe “
„ procexp.exe “
„ procexp64.exe “
„ dumpcap.exe “
„ Wireshark.exe “
„ anvir.exe “
Aber es gibt einen Fehler in xvvq.bat, es prüft nur auf taskmgr.exe und beendet dirverhost.exe, wie in Abb. 7 gezeigt. Und wenn ein anderer Prozess wie procexp.exe ausgeführt wird, wird driverhost.exe nicht beendet.
Wenn keiner der oben genannten Prozesse läuft, startet es driverhost.exe , ein Tool zum Kern-Mining. Es überprüft diese Prozesse kontinuierlich in einer Endlosschleife in xvvq.bat und reagiert entsprechend.
Die Datei config.json ist eine Konfigurationsdatei, in der Daten wie Benutzername, Passwort, maximale CPU-Auslastung usw. gespeichert werden, wie in Abb. 8 dargestellt.
Beim Start liest driverhost.exe die Miner-Konfigurationen aus der Datei config.json, verbindet sich mit „ xmr[.]pool[.]minergate[.]com “, sendet Benutzername und Passwort aus der config.json an den Server und startet das Mining auf Port 45560 (dem für das Mining verwendeten Port), wie in Abb. 9 und Abb. 10 dargestellt.
Es begrenzt die CPU-Auslastung für das Mining auf 35 %, wie in Abb. 11 gezeigt.
Zur Persistenz fügt die Malware im Autostart-Ordner eine Verknüpfung für ouyk .vbs mit dem Namen driverhost.lnk hinzu.
Ausführungsablauf des Miners :
I OC :
SHA256: b4ea81958403f717c1a20f18731ef05b648465c7e20cbc6f45bd2f5166c7c940
URL: hxxp://xmr[.]pool[.]minergate[.]com:45560
Quick Heal erkennt diesen Miner als „ Trojan.Occamy “.
Abschluss :
Da der Preis und die Wertschätzung digitaler Währungen exponentiell gestiegen sind, hat auch die Zahl der Mining-Malware im letzten Jahr zugenommen. Tatsächlich sind Miner so weit verbreitet, dass bereits Tausende von Computern infiziert sind. Die Anzahl der Mining-Malware hat zugenommen und sie ist auch komplexer geworden, wie im obigen Blogbeitrag erläutert.
Fachexperten
Ravi Gidwani, Pratik Pachpor | Quick Heal Security Labs
