В ряде неофициальных сборок Windows обнаружен стилер для кражи криптовалюты, который проникает в EFI-раздел

Компания «Доктор Веб» выявила троянскую программу-стилер в ряде неофициальных сборок ОС Windows 10, которые злоумышленники распространяли через один из торрент-трекеров. Получившее имя Trojan.Clipper.231, это вредоносное приложение подменяет адреса криптокошельков в буфере обмена на адреса, заданные мошенниками. На данный момент с его помощью злоумышленникам удалось похитить криптовалюту на сумму, эквивалентную порядка $19 000.



В конце мая 2023 года в компанию «Доктор Веб» обратился клиент с подозрением на заражение компьютера под управлением ОС Windows 10. Проведенный специалистами анализ подтвердил факт присутствия троянских программ в системе —стилера Trojan.Clipper.231, а также вредоносных приложений Trojan.MulDrop22.7578 и Trojan.Inject4.57873, осуществлявших его запуск. Вирусная лаборатория «Доктор Веб» успешно локализовала все эти угрозы и справилась с их обезвреживанием.

В то же время выяснилось, что целевая ОС являлась неофициальной сборкой, и вредоносные программы были встроены в нее изначально. Дальнейшее исследование позволило выявить несколько таких зараженных сборок Windows:

Windows 10 Pro 22H2 19045.2728 + Office 2021 x64 by BoJlIIIebnik RU.iso
Windows 10 Pro 22H2 19045.2846 + Office 2021 x64 by BoJlIIIebnik RU.iso
Windows 10 Pro 22H2 19045.2846 x64 by BoJlIIIebnik RU.iso
Windows 10 Pro 22H2 19045.2913 + Office 2021 x64 by BoJlIIIebnik [RU, EN].iso
Windows 10 Pro 22H2 19045.2913 x64 by BoJlIIIebnik [RU, EN].iso

Все они были доступны для скачивания на одном из торрент-трекеров, однако нельзя исключать, что злоумышленники используют и другие сайты для распространения инфицированных образов системы.

Вредоносные программы в этих сборках расположены в системном каталоге:

\Windows\Installer\iscsicli.exe (Trojan.MulDrop22.7578)
\Windows\Installer\recovery.exe (Trojan.Inject4.57873)
\Windows\Installer\kd_08_5e78.dll (Trojan.Clipper.231)

Инициализация стилера происходит в несколько стадий. На первом этапе через системный планировщик задач запускается вредоносная программа Trojan.MulDrop22.7578:

%SystemDrive%\Windows\Installer\iscsicli.exe
Ее задача — смонтировать системный EFI-раздел на диск M:\, скопировать на него два других компонента, после чего удалить оригиналы троянских файлов с диска C:\, запустить Trojan.Inject4.57873 и размонтировать EFI-раздел.

В свою очередь, Trojan.Inject4.57873 с использованием техники Process Hollowing внедряет Trojan.Clipper.231 в системный процесс %WINDIR%\\System32\\Lsaiso.exe, после чего стилер начинает работать в его контексте.

Получив управление, Trojan.Clipper.231 приступает к отслеживанию буфера обмена и подменяет скопированные адреса криптокошельков на адреса, заданные злоумышленниками. При этом у него имеется рад ограничений. Во-первых, выполнять подмену он начинает только при наличии системного файла %WINDIR%\\INF\\scunown.inf. Во-вторых, троян проверяет активные процессы. Если он обнаруживает процессы ряда опасных для него приложений, то подмену адресов криптокошельков не производит.

Внедрение вредоносных программ в EFI-раздел компьютеров как вектор атаки по-прежнему встречается весьма редко. Поэтому выявленный случай представляет большой интерес для специалистов по информационной безопасности.

По подсчетам наших вирусных аналитиков, на момент публикации этой новости с помощью стилера Trojan.Clipper.231 злоумышленники украли 0.73406362 BTC и 0.07964773 ETH, что примерно эквивалентно сумме $18 976,29 или 1 568 233 рубля.
Источник

никогда такого не было, и вот опять! )) Чистый msdn вам в помощь

Riza1972
Ну есть у меня этот файл, и что теперь?.....удалить можно? Так скорее всего trustedinstaller не даст. Да, главное - файл там с буквой К - scunknown.inf.

а сборка от by sanlex норм?

pavelganshin писал(а):

а сборка от by sanlex норм?

Без негатива к сборщикам.
Но в свете последних событий стоило бы проверить всех, я имею ввиду все последнии релизы ивестных сбощиков.
доверяй, но проверяй...

Louis Cyphre писал(а):

Получается все авторы сборок теперь дискредитированы и их сборки Windows считаются опасными, пока не будет доказано обратное.

Почему "теперь"?
IMHO они дискредитированы по умолчанию.

По этому надо пользоваться чистои системой по возможности !!!
Всегда есть будет подвох и подводные камни !!!

А за что попал в черный список UralSOFT (он же : Убийца, KS-Soft, SSK Soft, Maherz) и покойный KottoSOFT?
В списке не указана причина.

Kazakh писал(а):

По этому надо пользоваться чистои системой по возможности !!! Всегда есть будет подвох и подводные камни !!!

Поэтому надо пользоваться Linux .

Сборки это вредно. Давно установил сборку ХР, антивирус нашёл 38 вирусов. После этого пользуюсь только оригинальным Windows и Office, а также антивирусом.

m0nkrus, SmokieBlahBlah всю жизнь только их сборками пользуюсь.
Отдельно еще десятка LTSC от Paxweaver отличная, но на любителя совсем всего вырезанного под ноль.
Лучшие в деле.

Пробовал другие (которые не редко в популярных), имхо куча отсебятины и колхоза.

Таким надо запрещать распространять свои сборки и т.д.
Такой топик надо закреплять как важное.

mrpako писал(а):

inverser писал(а): go to Linux, brothers! Дядь хочу переехать давно на линь ,посоветуй пжста на куда )) не сильно туп даже паяльник видел )))

Паяльник тут не поможет. Бери какой-нибудь дектопный образ nix типа минта, федоры и т.п., ставь на виртуалку и пробуй найти и установить те проги (их аналоги), которые обычно ставишь себе на винду, если поставишь и настроишь 80-90% того, чем пользуешься на винде, можешь смело перелезать на nixы.

Попробуй только заикнуться о вирусах в комментариях к любой сборке, так даже модераторы раздела затыкают рот. А тут что-то случилось непоправимое?

!

Примечание от NorthOn:

2.15. Запрещено публичное предъявление претензий и обсуждение действий или бездействий Модераторов и Администрации. Примечание: участник форума, считающий действия Модератора неправомерными, может высказать своё несогласие Модератору по почте или в личном сообщении. Если от Модератора нет ответа в разумные сроки, или ответ кажется необоснованным, то последний в установленном порядке вправе обжаловать действия Модератора в специальной теме Пользовательские жалобы на модераторов и в качестве аргументов предоставить Администрации переписку с Модератором. Решения Администрации являются окончательными и обсуждению не подлежат. 5.8. Запрещены неаргументированные высказывания о содержании вредоносных программ (вирусов и т.п.) в раздачах без наличия скриншота окна антивируса с информацией об угрозе (или аналогичной выдержки из лог-файла антивируса), без названия/версии используемого антивирусного ПО и даты антивирусных сигнатур (обновлений вирусной базы). Настоятельно рекомендуется проверить спорный файл на virustotal.com и предоставить в комментарии ссылку на результаты сканирования этого файла.

Согласен, пора уже переезжать на gnu/linux ,который в последние года очень хорошо развивается, особенно с появлением SteamOs . Сейчас даже игры идут или с таким же фпс, или где-то даже выше. Но существует проблема с античитами, но это дело времени, думаю. В большинстве случаев линь намного лучше винды будет, если вы , конечно, не пользуетесь сверхспециализированным ПО , который существует только под винду... В особенности 11 винда, которая, мягко говоря, получилась не очень, уже наводит суеты и стало понятно, что эра слежки Билла Гейтса и кривеньких сборочек подходит к концу....

ps не буду говорить о тех, кто сидит на хр или на семёрке, там всё и так понятно