O botnet Smominru que é uma arma bem conhecida usada por organizações criminosas foi revelado para conduzir uma campanha maciça com o objetivo de infectar as vítimas com mineiros criptomoeda.
Os arquivos de carga útil que carregam as infecções são imagens JPEG de Taylor Swift. Os nomes alternativos sob os quais o botnet é conhecido incluem MyKings e DarkCloud.
Imagens da Taylor Swift podem causar a infecção de um mineiro: Ataque coordenado por Smominru Botnet
O botnet Smominru é uma ameaça bem conhecida que se tornou ativa desde então 2016 e usado em vários ataques direcionados. Na maioria dos casos, tem sido usado para entregar mineiros e cavalos de Tróia contra alvos definidos. Em algumas das versões mais recentes, os hackers adicionaram um função bootkit que irá desativar o software e serviços de segurança em execução e se esconder da descoberta. Botnets como este estão sendo distribuídos usando uma variedade de táticas, no entanto, os mais populares são os seguintes:
- Tentativas de login de força bruta - As infecções serão automatizadas pelo uso de kits de ferramentas de hacking que identificarão os serviços em execução no alvo e tentarão ataques de dicionário e logins de força bruta.
- exploração de vulnerabilidades - Os kits de ferramentas podem procurar pontos fracos nos serviços e usar exploits populares para assumir o controle dos dispositivos.
Os relatórios indicam que a nova versão do Botnet Smominru foi lançada para espalhar imagens JPEG de Taylor Swift. Esses arquivos são postados em formato de foto JPG em um repositório público. Quando eles são acessados pelas vítimas, um script irá lançar um código executável que iniciará uma infecção. A infecção do botnet também será definida como um ameaça persistente o que significa que os arquivos de configuração e configurações serão alterados para iniciar automaticamente assim que os hosts forem iniciados.
O motor principal vai entregar perigosas mineiros criptomoeda que são scripts de pequeno porte que irão baixar tarefas complexas que irão “meu” a criptomoeda Monero - processamento de transações na rede descentralizada. Até agora, o botnet recrutou 45,000 hospedeiros e irão minar $300 por dia. De acordo com os relatórios os principais alvos do botnet estão localizados na Ásia. Os principais países são: China, Rússia, Taiwan, Índia, EUA e Japão. Acredita-se que o grupo de hackers por trás das últimas campanhas de ataque seja experimentado, já que as versões atualizadas são uma melhoria significativa em relação às iterações anteriores.
Além dos mineiros, existem outras infecções que são entregues pelo botnet:
- Trojan PCShare - Este Trojan iniciará automaticamente toda vez que o computador for ligado e iniciará o mecanismo de Trojan típico que permitirá que os hackers assumam o controle dos hosts vítimas.
- Trojan DNSChanger - Este módulo de Trojan exibirá uma ação avançada de alteração do sistema - as configurações de DNS do host serão alteradas para um servidor baseado em chinês. Não é operado por um grupo de hackers no momento e a razão para isso não é conhecida. Outros módulos incluem um componente de força bruta SQL, varredura de porta em massa e um modo de descoberta de rede.
- Malware Dloadr - Estes são arquivos perigosos do Nullsoft Installer, usados para fornecer vários tipos de ameaças de vírus.
- Trojan Forshare - Este é um Trojan comum que contém texto chinês em seus metadados.
- Trojan ladrão de moedas - Algumas das ameaças menos comuns incluem esse tipo de malware. Eles realizam várias verificações que procuram por qualquer software de criptomoeda e serviços da web instalados. O mecanismo irá manipular os campos e coletar os dados da conta para sequestrar seus ativos.
Dado o fato de que os ataques em andamento são bem-sucedidos e continuam a se espalhar, prevemos que futuras atualizações do botnet e novas campanhas de ataque continuarão a ser produzidas.
Martin Beltov
Martin formou-se na publicação da Universidade de Sofia. Como a segurança cibernética entusiasta ele gosta de escrever sobre as ameaças mais recentes e mecanismos de invasão.
Me siga: