एक ट्रोजन जो बिटकॉइन उत्पन्न करने के लिए पीसी कंप्यूटिंग शक्ति का उपयोग करता है

यह मेरे लिए कल एक व्यापार यात्रा से एक ट्रोजन लाने के लिए हुआ, ट्रोजन.विन32. पॉवपर्ड (व्यक्तिगत कंप्यूटर के वर्गीकरण के अनुसार)। वहां मैंने उसे हराया, लेकिन वह फ्लैश ड्राइव को संक्रमित करने में कामयाब रहा। ताकि भलाई व्यर्थ न जाए, उन्होंने अपने अवकाश में इसे लेने का फैसला किया।
हमेशा की तरह, यह पता चला कि मैलवेयर में मैलवेयर के नाम के साथ सब कुछ अच्छा नहीं था, यह ट्रोजन-डाउनलोडर वर्ग के लिए अधिक है, क्योंकि मुख्य कार्य fileave.com से फ़ाइलों को डाउनलोड करना है । मैंने इसे खेलने के लिए वर्चुअल मशीन पर रखा, मशीन द्वारा अपलोड किए गए साधारण दुर्भावनापूर्ण कचरा के ढेर के बीच, मैंने एक sfx संग्रह पर ध्यान दिया और जैसा कि यह निकला, यह व्यर्थ नहीं था ...

सेल्फ-एक्स्ट्रक्टिंग आर्काइव को http_: //pasic.fileave.com/BTxDEF.exe लिंक से डाउनलोड किया गया था।



हम अंदर क्या देख रहे हैं ...



अंदर, हमारे पास हिडन स्टार्ट 3.2 प्रोग्राम (hstart.exe) है, जिसे संग्रह स्क्रिप्ट द्वारा /NOCONSOLE test.bat साथ लॉन्च किया गया है, जो आपको चुपके से test.bat निष्पादित करने की अनुमति देता है।



हम देखते हैं कि हमारे पास एक बैच फ़ाइल में क्या है ...



अभी तक कुछ भी स्पष्ट नहीं है, हालांकि btc.mobinil.biz पहले से ही कुछ विचारों को जन्म देता है । अंतिम फ़ाइल बनी हुई है - टास्कमार्गर। Exe, जो कि, जाहिरा तौर पर, विंडोज टास्क मैनेजर के तहत भारी मात्रा में है।



हे भगवान! बिटकॉइन उत्पन्न करने के लिए डिज़ाइन किया गया फ़ाइल बिटकॉइन माइनर है । बैच फ़ाइल इसे मापदंडों के साथ शुरू करती है:
bitcoin-miner [-a seconds] [-g|l yes|no] [-t threads] [-v] [-o url] [-x proxy] -u user -p password ,
जहाँ
-a #seconds# time between getwork requests 1..60, default 15
-g yes|no set 'no' to disable GPU, default 'yes'
-h this help -l yes|no set 'no' to disable Long-Polling, default 'yes'
-t #threads# Number of threads for CPU mining, by default is number of CPUs (Cores), 0 - disable CPU mining
-v Verbose output
-o url in form server.tld:port/path, by default 127.0.0.1:8332
-x type=host:port Use HTTP or SOCKS proxy.
Thread number should be 0..32

तो, टाइमआउट 5 सेकंड है, url btc.mobinil.biz : 8332 / है, उपयोगकर्ता redem_guild है, पास redem है, 2 थ्रेड हैं।
इंटरनेट के साथ, BitCoin Miner अज्ञात के लाभ के लिए कड़ी मेहनत करना शुरू कर देता है ...



तो, अब साइबर अपराधियों के लिए राजस्व उत्पन्न करने के लिए कंप्यूटर की कंप्यूटिंग शक्ति शुरू हो गई है। उपयोगकर्ता न केवल बोटनेट ट्रैफ़िक के लिए भुगतान करता है, उदाहरण के लिए, बल्कि बिजली के लिए भी, और पैसा दुनिया के दूसरे छोर पर चाचा को टपका रहा है :)

पुनश्च

सबसे दिलचस्प बात यह है कि संग्रह से दोनों कार्यक्रम वैध हैं, और आप केवल एक ट्रोजन को एक बैच फ़ाइल के रूप में मान सकते हैं जो इस सभी व्यवसाय को लॉन्च करता है ... केआईएस 2011 केएसएन का उपयोग करके पूरे संग्रह का पता लगाता है, एक नाम के बिना।

upd

अब यह svchost.exe के रूप में प्रच्छन्न है। कुछ एंटीवायरस ने संग्रह के अंदर बैच फ़ाइल को दुर्भावनापूर्ण के रूप में देखना शुरू किया।