Entmystifizierung der auf MSSQL-Servern bereitgestellten Kryptowährung PKT und Monero

Die Welt befindet sich im rasanten Wandel zum digitalen Zeitalter und verändert die Art und Weise, wie wir kommunizieren, arbeiten und Finanztransaktionen durchführen. Dieser Wandel wird gefahren by Fortschritte in der Technologie, verbesserte Internetverfügbarkeit und die Integration digitaler Lösungen in den Alltag. In diesem Zusammenhang ist die Entwicklung von Kryptowährungen zu einem Kennzeichen der digitalen Transformation im Finanzwesen geworden. Kryptowährungen entstanden mit der Einführung von Bitcoin im Jahr 2009 und boten eine dezentrale Peer-to-Peer-Alternative zu traditionellen Banksystemen. Im Laufe der Jahre haben sich Kryptowährungen von einem Nischenkonzept zu einem globalen Phänomen entwickelt.  In Anbetracht dieser Entwicklung heute, wir haben mehr als 8 aktive Kryptowährungen. In diesem Zusammenhang Seqrite Das Labor hat kürzlich Mining-Aktivitäten für die Kryptowährungen PKT Classic und Monero beobachtet.

PKT Classic-Analyse:

Einführung von PKT Classic:

PKT-Klassiker wurde vorgestellt in 2021. Es wurde gestartet mit dem Ziel, ein dezentrales, globales Netzwerk, in dem Einzelpersonen Kryptowährung verdienen können, indem sie ihre ungenutzte Internetbandbreite teilen. Das Projekt wurde entwickelt die traditionelle Internet-Infrastruktur neu zu erfinden, indem man es den Menschen ermöglicht, ihre Bandbreite über ein Blockchain-basiertes Ökosystem zu monetarisieren. Das Projekt begann als Grassroots-Initiative und hätten Seitdem konzentriert es sich auf den Aufbau eines dezentralen Bandbreitenmarktplatzes. 

Wie kann man die klassische Kryptowährung PKT minen? 

PacketCrypt ist ein Proof-of-Work (PoW) Algorithmus, der entwickelt wurde benutzt werden um den PKT abzubauen Krypto WährungEs ist eine Schlüsselkomponente des PKT-Netzwerks. PacketCrypt ermöglicht es Minern, ihre ungenutzte Internetbandbreite zum Mining von PKT zu nutzen. Anstatt sich ausschließlich auf Rechenleistung zu verlassen (wie Bitcoin-Miner), tragen Miner im PKT-Netzwerk mit ihrer Bandbreite zur Netzwerksicherheit bei und verdienen im Gegenzug PKT-Münzen. 

Anfang Januar 2025 beobachteten die Labore von QuickHeal Befehlszeile Betrieb ausgeführt durch sqlserver.exe. Dieser ließ uns vermuten, dass das Gerät kompromittiert worden durch eine Sicherheitslücke, die es Angreifern ermöglichte Schadcode aus der Ferne auszuführen. Bei weiteren Untersuchungen stellten wir fest, voller Angriffskette welche ist wie folgt:

 

Die Angreifer seit die certutil Dienstprogramm, ein legitimes Windows-Tool (auch bekannt als LOLBin), zum Herunterladen PKT Bergbauwerkzeug. Hier ist die eigentliche Befehlszeile:

In der angeforderten URL haben wir festgestellt, dass eine Datei mit dem Namen pktw.png wurde heruntergeladen und dann gespeichert als pkt.exe in England, windows NetworkService-Konto in % Temp% Verzeichnis. Während unserer Untersuchung haben wir auf die URL zugegriffen und konnten erfolgreich abrufen die Datei, die wir dann bei uns überprüft haben.

Der folgende Wireshark-Screenshot bestätigt, dass es sich bei der heruntergeladenen Datei um eine EXE-Datei handelt. 

Bei dieser heruntergeladenen Datei handelt es sich um das Tool Packet Crypt, das zum Mining von PKT-Münzen verwendet wird. Bei der Durchführung einer statischen Analyse verrät, dass es sich um eine Konsolenanwendung handelt.

Um die Kryptowährung PKT zu minen, benötigt Packet Crypt Parameter wie die Wallet-Adresse und die URL des Mining-Pools. Hier ist der vom Angreifer verwendete Befehl:

Während Analyse Sample in Debugger, erfuhren wir über seinen Autorennamen „Caleb James DeLisle” sichtbar in unter Abb.

Eine schnelle Google-Suche ergab, dass Caleb der Gründer des PKT Cash Blockchain- und Netzwerkprojekts ist zur Dezentralisierung Internet-Infrastruktur über einen dezentralen Bandbreitenmarktplatz. PacketCrypt wird von ihm entwickelt in RUST-Sprache.  Der Code ist öffentlich verfügbar unter unten Github-Repository.

https://github.com/cjdelisle/packetcrypt_rs 

Beim Umkehren der Probe beobachteten wir Dies basiert auf RUST Malware, und es passt und der obige Build. Der Angreifer nutzte ein GitHub-Repository, um eine ausführbare Datei (.exe) zu generieren und diese anschließend auf eine angegebene IP-Adresse (http://188.81.]134.196/resources/img/pktw.png) hochzuladen. a Bilddatei zur Verteilung oder Ausführung.

Unten Abbildung zeigt die Ausführung des Mining-Tools:

Coin Miner sind bekannt für ihre übermäßige Nutzung von Hardwareressourcen, die die Systemleistung beeinträchtigen, erhebliche Infrastrukturbandbreite verbrauchen und führen zu beschleunigten Hardware-Verschleiß. Wir können dies sehen in Task-Manager-Bild, was zeigt, dass Der laufende Prozess „pkt.exe“ verbraucht 99 % der CPU-Auslastung. 

PKT Wallet Details

Wir haben die mit der Mining-Aktivität verknüpfte Wallet-ID abgerufen und ihren Status auf der Schwimmbad.pkt.welt Domäne. Nach der Untersuchung haben wir bestätigt, dass die Brieftasche aktiv Mining betreibt PKT-Münzen (Ref: Abbildung 9) und generiert einen kontinuierlichen Fluss von Münzen. Der Mining-Betrieb ist im Gange, und die Systemressourcen sind Sein benutzt für diese illegale Aktivität. Dieser zeigt an, dass das kompromittierte System Teil eines Kryptoabbau Operation, wobei der Angreifer kontinuierlich von den verminten PKT Kryptowährung.

• For Wallet ID: pkt1q4syqsnl0m3626lue89wjte2xmvec5sn8jcdyw5

 

Was passiert, wenn eine Wallet-Adresse wird nicht geliefert?

Wenn keine benutzerdefinierte Wallet-Adresse angegeben wird, wird die Standardadresse verwendet wird, das im Hauptcode vorhanden ist und eine Warnung erscheint wie in Abb. gezeigt 10. Dies dient als Benachrichtigung, dass keine benutzerdefinierte Wallet-Adresse angegeben wurde und die Coins an die Standardadresse geschürft werden.

In Abb. 11, es gibt keine Wallet-Adresse angegeben. Daher wurde die Standardadresse verwendet, eine Warnmeldung angezeigt und mit dem Mining begonnen. Nichts ist verschwendet werden wenn es um den Bergbau geht.

Umfassende Analyse der Domäne des Angreifers

Angreifer benutzt "188.81.134.196 mm Zu verteilende IP-Adresse PKT Coin Miner. Als wir in unserer internen Telemetrie weitere Untersuchungen zur gleichen IP durchführten, stellten wir fest, dass derselbe Bedrohungsakteur andere schädliche Dateien verbreitet.

Das VT-Diagramm zeigt auch, dass es verschiedene Dateien herunterlädt und auf sie verweist, wie unten dargestellt.

XMRIG Miner-Analyse

Für diesen Teil, unsere Die Analyse ist in zwei Teile unterteilt, die technische Details verschiedener Dateien enthalten. Nach erfolgreicher SQL Server Ausnutzung, der Angreifer startete cmd.exe, um eine Powershell Skript, das Downloads eine schädliche Datei von einem Remote-Server. Abb. 13 zeigt den Ausführungsfluss.

TEIL I:

Das Powershell Skript ruft die Datei mit „System.Net.WebClient“ ab" dekodiert es aus Base64 und speichert es als „X.log“ im temporären Verzeichnis des Systems (C:\Windows\SERVIC~2\NETWOR~1\AppData\Local\Temp\). Trotz der Erweiterung „.log“ handelt es sich bei der Datei um eine bösartige ausführbare Datei. Hier ist der vollständige Befehl:

Abb. 15 zeigt den in Base64 kodierten Inhalt von „infoALT.txt“.

Programmprüfungen in X.log:

1. Überprüfen auf laufende Prozesse:
   1. Die Methode isRunning() durchläuft alle laufenden Prozesse, um zu prüfen, ob ein Prozess mit dem Programmnamen (Program.Prog) übereinstimmt, der standardmäßig „Log.txt“ lautet.".
   2. Dieser könnte eine Möglichkeit sein, festzustellen, ob ein bestimmtes Mining-Programm bereits ausgeführt wird.

1. Tötungsprozesse:
   1. Die Methode kill() beendet zwangsweise alle Prozesse mit dem im Programm gespeicherten Namen.Prog.
   2. Dieser stellt sicher, dass nur die von diesem Skript gesteuerte Instanz ausgeführt wird.

Wenn eine Instanz von Programm.Prog(log.txt) läuft bereits auf dem ComputerDieser Der Prozess beendet die bestehende Instanz und startet sie neu, um einen reibungslosen und unterbrechungsfreien Betrieb zu gewährleisten. welches ist a verbreitet Funktionalität in Bergbauanwendungen.

Dateiablage

1. Ressourcenextraktion:
   1. Das Programm extrahiert eine binäre Ressource (CmdMinerV2. wobei ProgL standardmäßig „Log.txt“ verwendet) und schreibt es auf die Festplatte.
   2. Dies geschieht mithilfe der Methode Assembly.GetExecutingAssembly().GetManifestResourceStream und schlägt die Ressource vor ist eingebettet innerhalb der ausführbaren Datei.

Die abgelegte Datei log.txt benötigt Parameter für ihre Ausführung. Zu diesen Parametern gehören:

1. Samen – Eine hexadezimale Zeichenfolge, die zum Initialisieren oder Überprüfen von Mining-Aufgaben verwendet wird.
2. Job-ID – Identifiziert einen bestimmten Mining-Job, der vom Server zugewiesen wurde.
3. Ziel – Die Mining-Schwierigkeitsschwelle, als Hexadezimalwert ausgedrückt.
4. ID – Wahrscheinlich eine eindeutige Kennung für die Mining-Sitzung oder den Client.
5. Speichertyp – Gibt die Mining-Ressource an („1“ für GPU, „0" für CPU), bestimmt anhand des Vorhandenseins von S.txt.

Diese Parameter sind für die Konfiguration und Initiierung von Mining-Vorgängen, die von der ausführbaren Datei Log.txt ausgeführt werden, von wesentlicher Bedeutung.

Die S.txt-Datei bestimmt den Mining-Modus, wobei ihre Anwesenheit GPU-Mining ermöglicht (MemoryType = "1") und dessen Fehlen führt standardmäßig zum CPU-Mining (MemoryType = "0"). Es wird auch verwendet als Reset- oder Fallback-Markierung während bestimmter Bedingungen bei der Programmausführung.

Das unten Codeausschnitt zeigt „algo“ :[ “rx/0″] in der JSON-Nutzlast, Die ist der RandomX-Algorithmus, der üblicherweise für das Mining verwendet wird Monero (XMR), die primäre Kryptowährung, die von XMRIG geschürft wird Bergbau Software.

Nach Angabe der entsprechenden Parameter startet die ausführbare Datei Log.txt den Mining-Vorgang. Obwohl die genauen erforderlichen Parameter unbekannt sind, konnten wir mithilfe von Beispieleingaben erfolgreich mit dem Mining beginnen. und es verbraucht 96 % der CPU-Auslastung (siehe Abb. 20). Dieser bestätigt, dass Log.txt ist konfiguriert für Aufgaben des Kryptowährungs-Minings.

TEIL II:

Die anfänglich beobachteten Techniken stimmen mit denen überein, die in Teil 1 unserer Analyse identifiziert wurden. Angreifer ruft „info2R.txt“ ab" Datei von „http://188.[81.134.196/resources/js/info2R.txt" URL und dekodiert sie von Base64 in Binärdaten.

Hier ist der genaue Befehl –

Abb. 22 zeigt „info2R.txt" Inhalt. Die dekodierten Daten wird dann geschrieben in das temporäre Verzeichnis des Systems als "Net5System.exe"

Da die Net5System-Programmdatei Themida-gepackt ist, ist stark verschleiert, was es schwieriger macht analysieren (Verweisen Abb. 23). Bei der Ausführung kann sich diese gepackte Datei selbst entpacken und ihre schädliche Nutzlast ausführen, wodurch Angreifer möglicherweise unbefugten Zugriff auf das System oder die Kontrolle darüber erlangen können.

Nach dem Ausführen der mit Themida gepackten Schaddatei versucht die Malware, Kryptowährungen zu schürfen, findet jedoch keine notwendigen Konfigurationsdateien wie config.json und xmrig.json (siehe Abb. 24). Die Fehlermeldung leitet den Benutzer zum XMRig-Konfigurationsassistenten (https://xmrig.com/wizard) weiter und versucht wahrscheinlich, das Opfer aufzufordern, die fehlenden Dateien für die Mining-Software zu generieren oder herunterzuladen. Dieses Verhalten deutet darauf hin, dass die Malware versucht, Monero zu schürfen. by Es nutzt die Systemressourcen des Opfers und führt den Benutzer zum Assistenten, um die Einrichtung abzuschließen und den Mining-Vorgang zu starten.

Fazit:

Angreifer sind ständig auf der Suche auf Schwachstellen in den Systemen, wie z. B. schwache Anmeldeinformationen oder Software-Schwachstellen, die sie für ihre Zwecke ausnutzen können besitzen gewinnen. Dieser Angriff ist ein solcher Beispiel eines Angreifers, der Schwachstellen in MSSQL-Servern ausnutzt. Dieser Angriff ist mehrstufig und missbraucht öffentlich verfügbaren Quellcode wie das GitHub-Repository, Windows LOLBin und Powershell-Skripte. Die Mining-Tools PacketCrypt für die Kryptowährung PKT und XMRIG für Monero wurden eingesetzt um Systemressourcen für das Mining zu kapern. Der Angreifer nutzte Dateien wie pkt.exe und Log.txt, um den Mining-Prozess zu starten, der erhebliche CPU- und GPU-Leistung verbrauchte.

Erkennung:

Schnellheilung Antivirus erkennt effektiv alle Varianten des Krypto-Mining Malware, durch statische und dynamische Analysemethoden, wodurch eine sofortige Identifizierung der für Bergbauaktivitäten verantwortlichen Bedrohungen gewährleistet wird.

Erkennungsname:

Trojan.Alevaul

Trojan.CoinMiner.49281.GC

Trojan.Ghanarava.*

Abmilderungen:

Zu das Risiko von Malware zu verringern, die Systemressourcen für das Mining von Kryptowährungen ausnutzt, Es sollten mehrere proaktive Maßnahmen ergriffen werden.

• Regelmäßige Software-Updates sind unerlässlich zum Schutz vor Schwachstellen in Betriebssystemen und Anwendungen.
• Implementieren Sie CAPTCHA, um nach einer bestimmten Anzahl fehlgeschlagener Versuche zu überprüfen, ob der Anmeldeversuch menschlich ist.
• Erzwingen Sie eine Mindestkomplexität der Passwörter (Länge, Zeichenkombination). Ermutigen Sie Benutzer, eindeutige und sichere Passwörter zu verwenden, oder fordern Sie sie dazu auf.
• Durch die Nutzung starker Antivirensoftware mit Echtzeitschutz und regelmäßigen Scans kann dabei helfen, Schadsoftware zu erkennen und zu entfernen.
• Durch die Einschränkung von Administratorrechten können nicht autorisierte Installationen verhindert werden, während Tools zur Ressourcenüberwachung eine ungewöhnliche CPU- und GPU-Auslastung erkennen können, die auf Mining-Aktivitäten hindeutet.

Zusammen können diese Strategien die Abwehr eines Unternehmens gegen Kryptowährungs-Mining-Malware erheblich verbessern.

Kompromissindikatoren (IoCs)

Reichen Sie das

Dateiname Datei-Hash

Pkt.exe e3d0c31608917c0d7184c220d2510848f6267952c38f86926b15fb53d07bd562

InfoALT.txt a5ca1e64278543dd9c0423d6e183efaaac1167fc0210da7eea9bf7a1b0246be8

x.log 9398d7a723e2ba4bb8046c8a6b796d9fc13c530a355d6319a53437e556071f39

Log.txt 5369b61daacbb811f1da996b5e61a70719d43175f447ceaa9b9023b875fe70bc

Info2R.txt 250743f1af4b5a9dd18028f792a0432a43d6bf17b50aad75b9d3a0c83786940d

Net5System.exe b1d169f6904ac5af690243e6d0b042a64089251114a630a740c87208ead52503 

 

URL

http://188[.]81[.]134[.]196/resources/img/pktw.png

http://188[.]81[.]134[.]196/resources/js/info2R.txt

http://188[.]81[.]134[.]196/resources/js/infoALT.txt

 

Fachexperten

Anjali Raut

Rayapati Lakshmi Prasanna Sai

Rumana Siddiqui