Quick Heal Security Labs heeft het afgelopen jaar een toename waargenomen in het aantal mining-malware. Tegenwoordig gebruiken malware-auteurs mining als vervanging voor ransomware om geld te verdienen.
Onlangs ontdekte Quick Heal Security Labs malware die Monero (XMR) mined. Deze miner bestaat uit veel verschillende componenten. De infectievector van deze mining-malware is nog niet bevestigd, maar op basis van toeschrijving komt deze miner op het systeem terecht via spearphishing, malvertising, enzovoort.
Technische analyse :
Analyzed Miner is een zelfuitpakkend uitvoerbaar bestand ( SFX ). Het pakt componenten uit in “ C:\Program Files\Windriverhost ”, zoals hieronder vermeld:
- vbs (VBScript)
- exe (Extractiehulpprogramma)
- rar (wachtwoordbeveiligd archief)
- bat (batchbestand)
Nadat de componenten zijn uitgepakt, start het VBScript (jsnel.vbs), zoals weergegeven in Figuur 2.
jsnel.vbs bevat een eenvoudig stukje code om chax.bat te starten.
rar.exe is een opdrachtregelprogramma om archieven uit te pakken. Hier wordt het gebruikt om het met een wachtwoord beveiligde bestand db.rar uit te pakken.
Het bestand chax.bat bevat opdrachten om componenten van de oude versie van het met een wachtwoord beveiligde archief en malware te verwijderen, zoals weergegeven in Figuur 4.
De belangrijkste taak van chax.bat is het uitpakken van de onderstaande componenten van db.rar op de huidige locatie en het starten van ouyk.vbs.
- vbs(VBScript)
- bat(Batchbestand)
- json(configuratiebestand)
- driverhost.exe (mijntool)
Vergelijkbaar met het vorige VBScript (jsnel.vbs) start dit script (ouyk.vbs) alleen een batchbestand (xvvq.bat).
xvvq.bat heeft twee hoofddoelen:
- Om het systeem altijd AAN te houden, gebruikt u: PowerCFG commando, zodat het mijnen niet wordt onderbroken.
“ powercfg -change -standby-timeout-ac 0 ”
- Om driverhost.exe te verbergen voor analysetools:
Het programma inventariseert processen met behulp van het tasklist- commando om te controleren of een van de onderstaande processen actief is. Indien een van deze processen actief is, wordt driverhost.exe beëindigd.
“ taskmgr.exe ”
“ perfmon.exe ”
“ ProcessHacker.exe ”
“ procexp.exe ”
“ procexp64.exe ”
“ dumpcap.exe ”
“ Wireshark.exe ”
“ anvir.exe ”
Maar er zit een fout in xvvq.bat. Er wordt alleen gecontroleerd op taskmgr.exe en dirverhost.exe wordt beëindigd, zoals weergegeven in Figuur 7. Als er een ander proces, zoals procexp.exe, wordt uitgevoerd, wordt driverhost.exe niet beëindigd.
En als geen van de bovengenoemde processen actief is, start het driverhost.exe , een essentieel miningprogramma. Het blijft continu controleren op al deze processen met behulp van een oneindige lus in xvvq.bat en handelt dienovereenkomstig.
config.json is een configuratiebestand waarin gegevens zoals gebruikersnaam, wachtwoord, maximaal CPU-gebruik, enz. worden opgeslagen, zoals weergegeven in Figuur 8.
Bij uitvoering leest driverhost.exe de minerconfiguraties uit config.json en maakt verbinding met “ xmr[.]pool[.]minergate[.]com ”. Vervolgens stuurt het de gebruikersnaam en het wachtwoord uit config.json naar de server en start het minen op poort 45560 (de poort die voor het minen wordt gebruikt), zoals weergegeven in Figuur 9 en Figuur 10.
Het beperkt het CPU-gebruik tot 35% voor mining, zoals weergegeven in Figuur 11.
Om persistentie te garanderen, voegt de malware een snelkoppeling toe aan de opstartmap voor ouyk.vbs met de naam driverhost.lnk.
Uitvoeringsstroom van de miner :
I OC :
SHA256: b4ea81958403f717c1a20f18731ef05b648465c7e20cbc6f45bd2f5166c7c940
URL: hxxp://xmr[.]pool[.]minergate[.]com:45560
Quick Heal detecteert deze Miner als “ Trojan.Occamy ”.
Conclusie :
Naarmate de prijs en waarde van digitale valuta exponentieel zijn gestegen, is ook de hoeveelheid miningmalware het afgelopen jaar toegenomen. Miners zijn zelfs zo wijdverspreid dat duizenden computers al geïnfecteerd zijn. Het aantal miningmalware is toegenomen en de complexiteit ervan is ook toegenomen, zoals besproken in de bovenstaande blogpost.
Onderwerp expert
Ravi Gidwani, Pratik Pachpor | Quick Heal Security Labs
