Malware KryptoCibule cílí na těžbu a krádež kryptoměn

Dosud nezdokumentovaná rodina malware se zaměřuje na odcizení kryptoměn - podle údajů ESETu jsou obětmi převážně čeští a slovenští uživatelé, kteří si stáhli tento škodlivý kód z Uloz.to! KryptoCibule se šíří přes torrenty, které mají uživatelům pomoci stáhnout nelegální verze programů a her.

Většina obětí KryptoCibule pochází z České republiky (47%) nebo Slovenska (41%). Uživatelé produktu ESET jsou před touto hrozbou chráněni. Ostatní si mohou ověřit bezpečí svého osobního počítače prostřednictvím bezplatného nástroje ESET Online Scanner.

KryptoCibule například na zařízení oběti ověřuje, zda se na něm nachází některé z řešení lokálních bezpečnostních společností ESET, Avast nebo AVG. Pokud takový program najde, komponenta sloužící k těžbě kryptoměn se do zařízení nenainstaluje.

Název detekce KryptoCibule je odvozen od komunikačního protokolu Tor, což je akronym názvu The Onion Router. Protože je velká část obětí z České republiky a Slovenska, byl použit lokální překlad slova onion (cibule).

"Tento škodlivý kód představuje v souvislosti s kryptoměnami trojitou hrozbu. Zneužívá zdroje oběti na těžbu kryptoměn ve prospěch útočníka, pokouší se přesměrovat finanční transakce změnou adresy kryptopeněženky během kopírování tohoto textu a také se pokouší krást soubory související s kryptoměnami, hesly a bankami. To vše s využitím různých technik, které škodlivému kódu pomáhají skrývat se před odhalením. KryptoCibule ve své komunikační infrastruktuře využívá síť Tor a také BitTorrent protokol," říká Miroslav Dvořák, technický ředitel české pobočky společnosti ESET.

Škodlivý kód zneužívá několik legitimních programů. Jeho instalátor je přibalen například k instalačnímu balíčku Toru a torrentovému klientovi. KryptoCibule se před odhalením skrývá například i tak, že na infikovaném zařízení netěží kryptoměnu, pokud je stav jeho baterie pod 10%.

Torrent je internetový protokol, který pomáhá při stahování různých souborů. Uživatel, který soubor stahuje, ho zároveň zpřístupňuje ke stažení dalším, kteří mají o soubor zájem. Oběť je tedy nevědomky infikována škodlivým kódem KryptoCibule a zároveň ho přes torrenty dále šíří.

Trojský kůň se nadále vyvíjí

ESET identifikoval několik verzí KryptoCibule, díky čemuž mohli jeho výzkumníci prozkoumat evoluci trojského koně zpětně až do prosince 2018. Od tohoto období byly do škodlivého kódu přidávány neustále nové funkcionality a trojský kůň je stále aktivní.

Uživatelé se škodlivému kódu KryptoCibule a podobným hrozbám vyhnou díky používání kvalitního bezpečnostního software stejně jako tak, že budou počítačové programy a hry stahovat a nakupovat pouze z oficiálních zdrojů.

Článek ESET software spol. s r. o. ze dne čtvrtek 17. září 2020

Další články od ESET software spol. s r. o.