恶意KMSPico安装器可窃取加密货币钱包

安全 应用安全
攻击者通过传播恶意KMSpico 安装器来感染Windows设备,并窃取加密货币钱包。近期,Red Canary安全研究人员发现有攻击者通过传播修改的恶意KMSpico安装器来感染Windows设备。

[[439321]]

攻击者通过传播恶意KMSpico 安装器来感染Windows设备,并窃取加密货币钱包。

KMSpico安装器是一款非常流行的Windows和office产品激活工具,可以模拟Windows密钥管理服务(Key Management Services,KMS)来欺诈性地激活证书。许多IT公司都使用KMSPico激活Windows服务,而不购买合法的微软证书。

近期,Red Canary安全研究人员发现有攻击者通过传播修改的恶意KMSpico安装器来感染Windows设备。

修改的产品激活器

分发的KMSPico中包含广告恶意软件和恶意软件。下图中可以看出,攻击者创建了大量的网站来分发KMSPico,都声称是官方网站。

谷歌搜索KMSPico返回的结果都称是官方网站

RedCanary通过分析发现,恶意KMSPico安装器来自7-zip这样的自提取的可执行文件,其中既包含KMS服务器模拟器,还包括Cryptbot。

用户点击恶意链接,下载KMSPico或者Cryptbot或其他不含KMSPico的恶意软件,就会被感染。安装KMSPico的同时也会同时部署Cryptbot。

恶意软件还被CypherIT打包器封装,混淆安装器来预防被安全软件检测到。然后,安装器会启动一个严重混淆的脚本,该脚本可以检测沙箱和反病毒模拟环境,如果发现就不会执行。

混淆的Cryptbot代码

此外,Cryptobot会检查是否存在%APPDATA%\Ramson,如果文件夹存在就执行自删除过程来预防再次感染。攻击者通过process hollowing方法将Cryptbot字节注入到内存中,恶意软件的其他特征与之前发现的特征有重合。

总的来看, Cryptbot 可以从以下APP中收集敏感信息:

  • Atomic加密货币钱包
  • Avast安全web浏览器
  • Brave浏览器
  • Ledger Live加密货币钱包
  • Opera Web浏览器
  • Waves Client and Exchange加密货币应用
  • Coinomi加密货币钱包
  • Google Chrome Web浏览器
  • Jaxx Liberty加密货币钱包
  • Electron Cash加密货币钱包
  • Electrum加密货币钱包
  • Exodus加密货币钱包
  • Monero加密货币钱包
  • MultiBitHD加密货币钱包
  • Mozilla Firefox Web浏览器
  • CCleaner Web浏览器
  • Vivaldi Web浏览器

因为Cryptbot的操作并不依赖硬盘上未加密的二进制文件的存在,只可以通过监控PowerShell命令执行或者外部网络通信等恶意行为监控来实现检测。

完整技术分析参见:https://redcanary.com/wp-content/uploads/2021/12/KMSPico-V5.pdf

本文翻译自:https://www.bleepingcomputer.com/news/security/malicious-kmspico-installers-steal-your-cryptocurrency-wallets/如若转载,请注明原文地址。

 

责任编辑:姜华 来源: 嘶吼网
相关推荐

2021-12-08 00:03:40

WindowsKMSPico工具

2021-04-26 05:52:28

黑客恶意软件加密货币

2022-11-22 09:36:18

2022-01-03 07:21:21

Telegram网络罪犯密钱包

2022-09-13 11:15:33

加密货币区块链

2024-01-05 16:32:50

2021-09-23 17:02:02

Robinhood加密货币钱包以太坊

2023-08-16 13:12:26

2022-09-30 14:23:07

加密货币安全勒索软件

2022-05-05 09:00:00

加密货币区块链Echelon

2021-05-19 15:18:00

2021-10-22 11:52:26

加密货币NPM数字货币

2021-02-26 09:45:48

恶意软件黑客网络攻击

2020-08-26 10:43:24

加密货币攻击蠕虫

2023-08-09 13:28:58

2021-09-30 10:17:31

恶意软件黑客网络攻击

2021-11-22 14:48:53

加密货币攻击双因素认证

2021-08-12 16:57:32

黑客加密货币网络攻击

2021-09-18 14:41:59

加密货币网络安全苹果

2012-06-06 13:15:43

点赞
收藏

51CTO技术栈公众号