Nemrég telt el egy hónap az Acronis True Image 2019 Cyber Protection legutóbbi frissítése óta, amely új kategóriával bővítette az alkalmazás Windows rendszereken futó kártevők felismerésére szolgáló képességeit. Az új kiberbiztonsági védelem a ransomware mellett már a cryptojacking kártevőket is felismeri és megállítja. Már az első hónap is váratlanul gazdag telemetriai adatokat hozott számunkra: világszerte több tízezer észlelést rögzítettünk, amelyekből számos érdekes megállapítás született, és ezeket szeretnénk megosztani.
Megdöbbentő számú egyedi kártevőtörzs
A legérdekesebb megállapítások közé kétségkívül az tartozik, hogy a cryptojacking kártevők által elkövetett, felhasználói rendszereket érintő feltárt támadások mintegy húsz százalékát korábban még nem látott, illetve addig fel nem ismerhető kártevőtörzsek hajtották végre.
Az Acronis Active Protection a cryptojacking kártevők felismeréséhez ugyanazokat a technikákat használja, mint ransomware rokonaik észleléséhez – mindkét család ugyanis ugyanazokat a támadási vektorokat használja a felhasználói rendszerbe való behatoláshoz, ráadásul szoftverünk nem a hagyományos, viselkedésük szerinti fenyegetésdefiníciókkal dolgozik, hanem a kódjuk alapján határozza meg őket hatékony gépi tanulási modellek segítségével, amelyek folyamatosan elemzik a rendszert, így a támadás általában még azelőtt leállítható, hogy valóban elkezdődne. A klasszikus vírusirtók nem tudnak megbirkózni az egyedi kártevőkkel, amíg adatbázisukat nem frissítik, ami rendszerint már túl késő.
A már jól ismert, felismert cryptojacking kártevők között szerepelt az xmr-stak-cpu.exe, a Claymore CryptoNote CPU Miner, a rhminer és az xmrig Monero miner. A jogosulatlan bányászatra törekvő régi és újonnan ismert kártevőtörzsek együtt az észlelések 60%-át tették ki, míg a teljes 40%-ot a cryptomining kód legitim használata alkotta. Ebbe a kategóriába tartozik minden, webböngésző segítségével végzett kriptovaluta-bányászati folyamat, amelyhez a felhasználó tudatosan kivételt adott. A kriptovaluta-bányászat folyamatának működéséről bővebben itt olvashat.
Már a Jegyzettömb sincs biztonságban
Az aktív kutatás szempontjából még érdekesebb volt megfigyelni azt, ami eleinte hamis riasztások sorozatának tűnt. Védelmünk cryptojacking kártevőként ismételten legitim Windows-folyamatokat jelölt meg, például a chrome.exe-t, a java.exe-t, a notepad.exe-t és leggyakrabban a setup.exe-t, amelynél két egyedi hashhez kapcsolódóan 93 incidenst észleltünk. Kutatóink későbbi elemzése kimutatta, hogy korábbi, csak most feltárt felhasználói rendszerfertőzésekről volt szó, amelyek során egy trójai program sikeresen beillesztette a jogosulatlan kriptovaluta-bányászathoz szükséges kódot a legitim folyamatokba.
A notepad.exe cryptojacking kártevővel történt fertőzésének példája, amelyet az Acronis Active Protection tárt fel.
A kevésbé meglepő, de továbbra is értékes megállapítások közé tartozik, hogy az ilyen „hamis riasztásokat” jelentő rendszerek közül sok a legtöbb jelentést küldő rendszerek közé tartozott. Egy sikeres támadás esetén tehát jelentősen megnő az ismételt, azonos vagy más kártevőtörzsek általi támadási kísérletek kockázata.
Záró gondolat
Folytatni fogjuk a ransomware és a cryptojacking kártevők kutatását és elemzését, valamint megállapításaink közzétételét is. Addig is javasoljuk, hogy ne felejtse el frissíteni hagyományos vírusvédelmi megoldásait, és legalább próbálja ki az Acronis True Image 2019 szoftvert, amely tartalmazza az Acronis Active Protection kiberbiztonsági technológiánkat, vagy töltse le annak ingyenes változatát, az önálló Acronis Ransomware Protection alkalmazást.
Angol nyelvű Acronis források alapján készült.
Forrás: https://www.acronis.cz/novy-cryptojacking-blocker-ma-uz-po-mesici-skvele-vysledky/
A cikk szerzője: ZEBR.ai szerkesztőség
