NRSMinerマルウェア–アクティブな感染を除去する方法

このブログ投稿は、何であるかを説明するのに役立つように作成されました NRSMinerマイナー アプリとそれを削除してコンピュータ上のMonero暗号通貨をマイニングしないようにする方法.

新しい, 非常に危険な暗号通貨マイナーウイルスがセキュリティ研究者によって検出されました. マルウェア, と呼ばれる NRSMiner さまざまな方法で標的の被害者に感染する可能性があります. の背後にある主なアイデア NRSMiner マイナーは、犠牲者の費用でモネロトークンを取得するために、犠牲者のコンピューターで暗号通貨マイナー活動を採用することです. この鉱夫の結果は電気代の高騰であり、あなたがそれを長期間放置すると NRSMiner コンピュータのコンポーネントを損傷する可能性さえあります.

NRSMinerマルウェアは、コンピューターターゲットに感染するために使用される2つの一般的な方法を使用します:

• 以前の感染によるペイロード配信 —古いNRSMinerマルウェアが被害者のシステムに配備されている場合、マルウェアは自動的に更新するか、新しいバージョンをダウンロードできます。. これは、組み込みを介して可能です アップデート リリースを取得するコマンド. これは、マルウェアコードを提供する特定の事前定義されたハッカー制御サーバーに接続することによって行われます。. ダウンロードされたウイルスは、Windowsサービスの名前を取得し、 %systemroot％ temp 位置. 重要なプロパティとオペレーティングシステムの構成ファイルは、永続的でサイレントな感染を可能にするために変更されます.
• ソフトウェアの脆弱性の悪用 — NRSMinerマルウェアの最新バージョンは、EternalBlueエクスプロイトが原因であることが判明しています, WannaCryランサムウェア攻撃で使用されることで広く知られています. 感染は、TCPポートを介してオープンサービスを標的にすることによって行われます 445. 攻撃は、ポートが開いているかどうかを調べるハッカー制御のフレームワークによって自動化されます. この条件が満たされると、サービスがスキャンされ、サービスに関する情報が取得されます。, バージョンと構成データを含む. エクスプロイトと一般的なユーザー名とパスワードの組み合わせが行われる可能性があります. 脆弱なコードに対してEternalBlueエクスプロイトがトリガーされると、マイナーはDoublePulsarバックドアとともにデプロイされます. これは二重感染を示します.

これらの方法とは別に、他の戦略も使用できます. 鉱夫はによって配布することができます フィッシングメール スパムのような方法で大量に送信され、被害者を混乱させて合法的なサービスや会社からメッセージを受け取ったと信じ込ませるためにソーシャルエンジニアリングのトリックに依存している. ウイルスファイルは、マルチメディアコンテンツまたはテキストリンクの本文コンテンツに直接添付または挿入できます。.

犯罪者はまた作成することができます 悪意のあるランディングページ ベンダーのダウンロードページになりすますことができます, ソフトウェアダウンロードポータルおよびその他の頻繁にアクセスされる場所. 正当なアドレスやセキュリティ証明書と同様のドメイン名を使用している場合、ユーザーはそれらとのやり取りを強要される可能性があります. 場合によっては、それらを開くだけで鉱夫の感染を引き起こす可能性があります.

別のアプローチは、 ペイロードキャリア 上記の方法を使用して、またはを介して拡散することができます ファイル共有ネットワーク, BitTorrentは最も人気のあるものの1つです. 正規のソフトウェアとファイルの両方を配布し、コンテンツを海賊版にするために頻繁に使用されます. 最も人気のあるペイロードキャリアの2つは次のとおりです:

• 感染した文書 —ハッカーは、起動されるとすぐにNRSMinerマルウェアコードをインストールするスクリプトを埋め込むことができます. 人気のあるドキュメントはすべて潜在的なキャリアです: プレゼンテーション, リッチテキストドキュメント, プレゼンテーションとデータベース. 被害者がそれらを開くと、ドキュメントを正しく表示するために組み込みマクロを有効にするようにユーザーに求めるプロンプトが表示されます. これが行われると、マイナーがデプロイされます.
• アプリケーションインストーラー —犯罪者は、エンドユーザーがダウンロードしたすべての一般的なソフトウェアのアプリケーションインストーラーにマイナーインストールスクリプトを挿入できます。: システムユーティリティ, 生産性アプリ, オフィスプログラム, 創造性スイート、さらにはゲーム. これは、正規のインストーラーを変更して行われます。通常、公式ソースからダウンロードされ、必要なコマンドが含まれるように変更されます。.

犯罪者が検討できる他の方法には、 ブラウザハイジャッカー —最も人気のあるWebブラウザと互換性のある危険なプラグイン. それらは、偽のユーザーレビューと開発者の資格情報とともに関連するリポジトリにアップロードされます. 多くの場合、説明にはスクリーンショットが含まれている場合があります, 優れた機能拡張とパフォーマンスの最適化を約束するビデオと詳細な説明. ただし、インストールすると、影響を受けるブラウザの動作が変更されます—ユーザーは、ハッカーが制御するlanidngページにリダイレクトされ、設定が変更される可能性があります—デフォルトのホームページ, 検索エンジンと新しいタブのページ.

NRSMinerマルウェアは、暗号通貨マイナーの典型的なケースであり、その構成によっては、さまざまな危険なアクションを引き起こす可能性があります. その主な目標は、利用可能なシステムリソースを活用する複雑な数学的タスクを実行することです。: CPU, GPU, メモリとハードディスクの空き容量. それらが機能する方法は、と呼ばれる特別なサーバーに接続することです マイニングプール 必要なコードがダウンロードされる場所から. タスクの1つがダウンロードされるとすぐに、それはすぐに開始されます, 複数のインスタンスを一度に実行できます. 特定のタスクが完了すると、別のタスクがその場所にダウンロードされ、コンピューターの電源がオフになるまでループが続行されます, 感染が除去されるか、別の同様のイベントが発生します. 暗号通貨は犯罪者のコントローラーに報酬が与えられます (ハッキンググループまたは単一のハッカー) 彼らの財布に直接.

このカテゴリのマルウェアの危険な特徴は、このようなサンプルがすべてのシステムリソースを取得し、脅威が完全に除去されるまで被害者のコンピュータを実質的に使用できなくする可能性があることです。. それらのほとんどは、 永続的なインストール それはそれらを取り除くのを本当に難しくします. これらのコマンドは、起動オプションを変更します, コンピューターの電源を入れるとNRSMinerマルウェアが自動的に起動するようにする構成ファイルとWindowsレジストリ値. リカバリメニューとオプションへのアクセスがブロックされる可能性があり、多くの手動削除ガイドが実質的に役に立たなくなります.

この特定の感染は、それ自体のためにWindowsサービスをセットアップします, 実施されたセキュリティ分析に続いて、以下のアクションが観察されました:

• 情報収集 —マイナーは、インストールされているハードウェアコンポーネントのプロファイルと特定のオペレーティングシステム情報を生成します. これには、特定の環境値から、インストールされているサードパーティアプリケーションやユーザー設定まで、あらゆるものが含まれます。. 完全なレポートはリアルタイムで作成され、継続的または特定の時間間隔で実行される場合があります.
• ネットワーク通信 —感染が発生するとすぐに、収集されたデータを中継するためのネットワークポートが開かれます. これにより、犯罪者のコントローラーがサービスにログインし、ハイジャックされたすべての情報を取得できるようになります。. このコンポーネントは、将来のリリースで本格的なトロイの木馬インスタンスに更新される可能性があります: それは犯罪者がマシンの制御を引き継ぐことを可能にするでしょう, リアルタイムでユーザーをスパイし、ファイルを盗む. さらに、トロイの木馬感染は、他のマルウェアの脅威を展開するための最も一般的な方法の1つです。.
• 自動的にアップデート —アップデートチェックモジュールを使用することで、NRSMinerマルウェアは、脅威の新しいバージョンがリリースされたかどうかを常に監視し、自動的に適用できます。. これには、必要なすべての手順が含まれます: ダウンロード, インストール, 古いファイルのクリーンアップとシステムの再構成.
• アプリケーションとサービスの変更 —マイナー操作中に、関連するマルウェアが、すでに実行されているWindowsサービスおよびサードパーティがインストールしたアプリケーションに接続する可能性があります. そうすることで、システム管理者は、リソースの負荷が別のプロセスから発生していることに気付かない場合があります。.

この種のマルウェア感染は、そのように構成されている場合、高度なコマンドを実行するのに特に効果的です。. それらは、犯罪者のコントローラーがあらゆる種類の危険な行動を調整できるようにするモジュラーフレームワークに基づいています. 人気のある例の1つは、 Windowsレジストリ —オペレーティングシステムに関連する変更文字列は、深刻なパフォーマンスの中断とWindowsサービスへのアクセス不能を引き起こす可能性があります. 変更の範囲によっては、コンピューターが完全に使用できなくなる可能性もあります. 一方、サードパーティがインストールしたアプリケーションに属するレジストリ値を操作すると、それらが妨害される可能性があります. 一部のアプリケーションは完全に起動できない可能性がありますが、他のアプリケーションは予期せず動作を停止する可能性があります.

現在のバージョンのこの特定の鉱夫は、鉱業に焦点を当てています モネロ暗号通貨 XMRigCPUマイニングエンジンの修正バージョンが含まれています. キャンペーンが成功した場合、NRSMinerの将来のバージョンを将来的に立ち上げることができます. マルウェアはソフトウェアの脆弱性を使用してターゲットホストに感染するため, ランサムウェアやトロイの木馬との危険な重複感染の一部である可能性があります.

の除去 NRSMiner 強くお勧めします, それがあなたのPC上で実行されている場合、あなたは大きな電気代だけでなく危険を冒すので, しかし、鉱夫はそれに対して他の望ましくない活動を実行し、あなたの PCを恒久的に.

このマイナーをPCから削除したい場合, それはあなたのファイルを削除する可能性があることに注意してください. これが理由です, このウイルスを削除する前に、PC上にある場合は、すべての重要なファイルをバックアップすることをお勧めします.

削除する NRSMiner PCから自動的にマイナー, 以下の取り外しマニュアルに従うことをお勧めします. 手動と自動の取り外しで分離されます, これは、ウイルスファイルを完全に削除するのに効果的に役立つためです. 手動での取り外しが役に立たない場合, でも, ほとんどの研究者がアドバイスすることをお勧めします。それは、感染したPCでスキャンを実行するために、高度なマルウェア対策ソフトウェアをダウンロードすることです。. そのようなプログラムは自動的に世話をします NRSMinerマイナーウイルス あなたのコンピュータからそしてそれが完全に取り除かれることを確認し、そしてあなたのPCは将来も保護されたままになります.