Dofoil kriptovalyutasi uchun hujum vektori aniqlandi

Dofoil kriptovalyutasi uchun hujum vektori aniqlandi

Kriptominerni tarqatish uchun tajovuzkorlar MediaGet BitTorrent mijozining yangilanish serverini buzib kirishdi.

O’tgan hafta bir necha soat ichida 400 000 dan ortiq kompyuterni zararlagan Dofoil kriptominerining keng ko’lamli hujumi MediaGet BitTorrent mijozining yangilanish serveriga qilingan xakerlik hujumi natijasida yuzaga keldi. Tajovuzkorlar serverni buzib kirishdi va MediaGetning yangilangan versiyasini deyarli aniqlab bo’lmaydigan orqa eshik bilan almashtirishdi, bu esa Dofoilning asosan Rossiya, Ukraina va Turkiyadagi kompyuterlarni zararlashiga sabab bo’ldi.

Microsoft xavfsizlik mahsulotlari rossiyalik ishlab chiquvchilar tomonidan yaratilgan MediaGet mijozini potentsial ravishda kiruvchi dastur sifatida aniqlaydi, ammo mayner holatida u qurbonlar uchun o’ziga xos ko’prik vazifasini bajardi.

Fayl almashish dasturlari zararli dasturlarni tarqatish uchun ishlatilishi mumkin, ammo bu holda, mayner kompyuterlarga yuklab olingan torrent fayllari orqali emas, balki mediaget.exe jarayoni orqali yetkazilgan, deb ta’kidlaydi Microsoft mutaxassislari.

Mutaxassislarning fikriga ko’ra, hujum puxta rejalashtirilgan edi — hujumchilar ikki hafta oldin barcha kerakli narsalarni tayyorlab qo’yishgan edi. «Hujum uchun platformani himoya qilish maqsadida hujumchilar yangilanishlarni zaharlashni amalga oshirdilar (yangilanishlarning yaxlitligiga zarar yetkazdilar – tahr.), natijada kompyuterlarga MediaGetning troyanlashtirilgan versiyasi o’rnatildi», deb xabar berishdi mutaxassislar.

Imzolangan mediaget.exe fayli MediaGet yangilanish serveridan update.exe faylini yuklab oldi, u yangi, imzolanmagan mediaget.exe faylini o’rnatdi. Fayl asl fayl kabi ishladi, lekin unda orqa eshik ham bor edi. Microsoft ma’lumotlariga ko’ra, mediaget.exe faylini imzolagan uchinchi tomon kompaniyasining o’zi xakerlar qurboni bo’lgan. Hujumchilar MediaGet autentifikatsiyasidan o’tish uchun soxta yangilanishni boshqa sertifikat bilan imzoladilar.

Soxta yangilanish asl nusxasi bilan 98% bir xil. Aniqlanishdan qochish uchun troyan Process Hollowing texnikasidan foydalanadi.

Jarayonni bo’shatish – bu qonuniy jarayonning yangi namunasini yaratish va keyin qonuniy kodni zararli kod bilan almashtirishni o’z ichiga olgan kod kiritish usuli.