В ряде неофициальных сборок Windows обнаружен стилер для кражи криптовалюты, который проникает в EFI-раздел

Компания «Доктор Веб» выявила троянскую программу-стилер в ряде неофициальных сборок ОС Windows 10, которые злоумышленники распространяли через один из торрент-трекеров. Получившее имя Trojan.Clipper.231, это вредоносное приложение подменяет адреса криптокошельков в буфере обмена на адреса, заданные мошенниками. На данный момент с его помощью злоумышленникам удалось похитить криптовалюту на сумму, эквивалентную порядка $19 000.



В конце мая 2023 года в компанию «Доктор Веб» обратился клиент с подозрением на заражение компьютера под управлением ОС Windows 10. Проведенный специалистами анализ подтвердил факт присутствия троянских программ в системе —стилера Trojan.Clipper.231, а также вредоносных приложений Trojan.MulDrop22.7578 и Trojan.Inject4.57873, осуществлявших его запуск. Вирусная лаборатория «Доктор Веб» успешно локализовала все эти угрозы и справилась с их обезвреживанием.

В то же время выяснилось, что целевая ОС являлась неофициальной сборкой, и вредоносные программы были встроены в нее изначально. Дальнейшее исследование позволило выявить несколько таких зараженных сборок Windows:

Windows 10 Pro 22H2 19045.2728 + Office 2021 x64 by BoJlIIIebnik RU.iso
Windows 10 Pro 22H2 19045.2846 + Office 2021 x64 by BoJlIIIebnik RU.iso
Windows 10 Pro 22H2 19045.2846 x64 by BoJlIIIebnik RU.iso
Windows 10 Pro 22H2 19045.2913 + Office 2021 x64 by BoJlIIIebnik [RU, EN].iso
Windows 10 Pro 22H2 19045.2913 x64 by BoJlIIIebnik [RU, EN].iso

Все они были доступны для скачивания на одном из торрент-трекеров, однако нельзя исключать, что злоумышленники используют и другие сайты для распространения инфицированных образов системы.

Вредоносные программы в этих сборках расположены в системном каталоге:

\Windows\Installer\iscsicli.exe (Trojan.MulDrop22.7578)
\Windows\Installer\recovery.exe (Trojan.Inject4.57873)
\Windows\Installer\kd_08_5e78.dll (Trojan.Clipper.231)

Инициализация стилера происходит в несколько стадий. На первом этапе через системный планировщик задач запускается вредоносная программа Trojan.MulDrop22.7578:

%SystemDrive%\Windows\Installer\iscsicli.exe
Ее задача — смонтировать системный EFI-раздел на диск M:\, скопировать на него два других компонента, после чего удалить оригиналы троянских файлов с диска C:\, запустить Trojan.Inject4.57873 и размонтировать EFI-раздел.

В свою очередь, Trojan.Inject4.57873 с использованием техники Process Hollowing внедряет Trojan.Clipper.231 в системный процесс %WINDIR%\\System32\\Lsaiso.exe, после чего стилер начинает работать в его контексте.

Получив управление, Trojan.Clipper.231 приступает к отслеживанию буфера обмена и подменяет скопированные адреса криптокошельков на адреса, заданные злоумышленниками. При этом у него имеется рад ограничений. Во-первых, выполнять подмену он начинает только при наличии системного файла %WINDIR%\\INF\\scunown.inf. Во-вторых, троян проверяет активные процессы. Если он обнаруживает процессы ряда опасных для него приложений, то подмену адресов криптокошельков не производит.

Внедрение вредоносных программ в EFI-раздел компьютеров как вектор атаки по-прежнему встречается весьма редко. Поэтому выявленный случай представляет большой интерес для специалистов по информационной безопасности.

По подсчетам наших вирусных аналитиков, на момент публикации этой новости с помощью стилера Trojan.Clipper.231 злоумышленники украли 0.73406362 BTC и 0.07964773 ETH, что примерно эквивалентно сумме $18 976,29 или 1 568 233 рубля.
Источник

Ну а что, сборщики тоже кушать хотят это сарказм кончено. Новость супер, будет людям наука! Только оф. образы.

raddy писал(а):

В Windows 11 Pro 22H2 (build 22621.1635) + Office 2021 x64 by BoJlIIIebnik [Ru/En] ещё с месяц назад троян обнаружили на "известном трекере", но тема продолжения не получила. Просмотр доступен только для зарегистрированных пользователей

Не знаю в чём там у вас проблема. Ещё до вашего комментария отрепортил новость админам там - сейчас все раздачи там уже закрыты.

Боже сохрани меня от использования "оригинальных образов". "Обрезание" 10-ки (уже 11-ки) уже выделилось в отдельное направление ИТ-индустрии. Windows по умолчанию, это же ужас просто, независимо от мощности компа. Есть пара любимых авторов, Волшебника среди них нет. Огромное спасибо этим людям за труд и многие часы сэкономленного времени. У меня знакомые даже предлагали им задонатить с целью ускорения выхода новых сборок.

себе сам сборочки делаю , никогда никому не доверял

98fgd98 писал(а):

Не знаю в чём там у вас проблема

В смысле проблема?

98fgd98 писал(а):

Ещё до вашего комментария отрепортил новость админам там - сейчас все раздачи там уже закрыты.

За 10 минут до вашего сообщения здесь.

Во раскудахтались мамкины хацкеры , что у вас то красть порнушку что от мамки прячете или мультики ? те кто в серьёз работает на пк или есть что на нём держать никогда сборок не ставят , да и систему защиты ставят серьёзную . Ща не начало 2000х люди поумнели и стали намного избирательней .
Я давно занимался сборкой и в своё время был достаточно известен , так вот находились умельцы которые скачивали мои образы и переупаковывали рекламой и опять выкладывали .

Всегда беру официальный MSDN образ и САМ "обрабатываю напильником". Всякие сборки "от Вована, Васяна и Волшебника" - в топку

На одном из компов дома стоит как раз такая. Если поиск CureIt не дал результатов - значит ли, что меня в хорошем смысле пронесло? И если нет, то какие есть варианты устранения проблемы помимо переустановки начисто?

go to Linux, brothers!

raddy
Ну так да, через их дискорд объяснить ситуацию модератору оказалось быстрее и профитнее, чем письмо от меня же в "общих вопросах".
Если возникает какая-то проблема, есть же модерация. Репортите им.

как всегда обнаружил или касперский или доктор вэб... наводит на мысли

98fgd98 писал(а):

Если возникает какая-то проблема, есть же модерация. Репортите им.

Та никаких проблем, обратил внимание присутствующих - что без всякого "хайпа" касперский ругался на эту поделку ещё месяц назад, вот только выводов там не последовало.

vano070540 писал(а):

Во раскудахтались мамкины хацкеры , что у вас то красть порнушку что от мамки прячете или мультики ? те кто в серьёз работает на пк или есть что на нём держать никогда сборок не ставят , да и систему защиты ставят серьёзную . Ща не начало 2000х люди поумнели и стали намного избирательней . Я давно занимался сборкой и в своё время был достаточно известен , так вот находились умельцы которые скачивали мои образы и переупаковывали рекламой и опять выкладывали .

там же тыщ 5 на киви лежит, ножик в контре то купить, целый год на мамкиных обедах в школу экономил

inverser писал(а):

go to Linux, brothers!

Дядь хочу переехать давно на линь ,посоветуй пжста на куда )) не сильно туп даже паяльник видел )))

sailorxakep писал(а):

"тыжайтишник,

sailorxakep писал(а):

что теперь надо отключать, добавлять, изменять и т.д. .

С такими заявлениями, я очень сомневаюсь что вы имеете хоть какое либо отношение к IT.

Добавлено спустя 2 минуты 52 секунды:

Koshmarov писал(а):

"Обрезание" 10-ки (уже 11-ки) уже выделилось в отдельное направление ИТ-индустрии. Windows по умолчанию, это же ужас просто, независимо от мощности компа.

Ваши фантазии, не более!