Onlangs was het een maand geleden sinds de laatste update van Acronis True Image 2019 Cyber Protection, die de mogelijkheden van de applicatie om malware op Windows-systemen te herkennen, uitbreidde met een nieuwe categorie. Naast ransomware herkent en stopt cyberbescherming nu ook cryptojacking-malware. En al de eerste maand leverde ons onverwacht rijke telemetriegegevens op: wereldwijd registreerden we tienduizenden detecties, die tot een aantal interessante bevindingen leidden die we graag willen delen.
Verrassend aantal unieke malwarevarianten
Een van de interessantste bevindingen is ongetwijfeld dat ongeveer twintig procent van de ontdekte aanvallen op gebruikerssystemen met cryptojacking-malware werd uitgevoerd door malwarevarianten die nog niet eerder waren gezien, respectievelijk nog niet eerder konden worden gedetecteerd.
Acronis Active Protection gebruikt voor het detecteren van cryptojacking-malware dezelfde technieken als voor het detecteren van ransomwarevarianten – beide families gebruiken namelijk dezelfde aanvalsvectoren om het gebruikerssysteem binnen te dringen. Bovendien werkt onze software niet met traditionele dreigingsdefinities op basis van hun gedrag, maar definieert deze op basis van hun code met behulp van effectieve machinelearningmodellen, die de systeemanalyse continu uitvoeren. Daardoor wordt een aanval doorgaans gestopt voordat deze werkelijk begint. Klassieke antivirussen kunnen unieke malware niet aanpakken totdat hun database is bijgewerkt, en dan is het doorgaans te laat.
Tot de reeds bekende gedetecteerde cryptojacking-malware behoorden xmr-stak-cpu.exe, Claymore CryptoNote CPU Miner, rhminer en xmrig Monero miner. Oude en nieuw bekende malwarevarianten die probeerden ongeautoriseerd te minen, vormden samen 60% van de detecties; maar liefst 40% betrof legitiem gebruik van cryptominingcode. In deze categorie vallen alle processen voor het minen van cryptovaluta via een webbrowser, waarvoor de gebruiker bewust een uitzondering had toegestaan. Meer informatie over de werking van het minen van cryptovaluta leest u hier.
Zelfs Kladblok is niet meer veilig
Vanuit het oogpunt van actief onderzoek was het nog interessanter om te volgen wat aanvankelijk een reeks valse alarmen leek te zijn. Onze bescherming markeerde herhaaldelijk legitieme Windows-processen als cryptojacking-malware, zoals chrome.exe, java.exe, notepad.exe en het vaakst setup.exe, met 93 incidenten en twee unieke hashes. De daaropvolgende analyse door onze onderzoekers toonde aan dat het gevallen betrof van eerdere, pas nu ontdekte infecties van gebruikerssystemen met een Trojaans paard dat met succes code voor ongeautoriseerde cryptovaluta-mining in legitieme processen had ingevoegd.
Voorbeeld van een infectie van notepad.exe met cryptojacking-malware, ontdekt dankzij Acronis Active Protection.
Een minder verrassende maar nog steeds waardevolle bevinding is dat een aantal systemen die deze „valse alarmen” meldden, behoorden tot de systemen met het grootste aantal meldingen. Bij één succesvolle aanval neemt het risico op herhaalde aanvalspogingen door dezelfde en andere malwarevarianten dus aanzienlijk toe.
Een gedachte tot besluit
We zullen ons onderzoek en onze analyse van ransomware en cryptojacking-malware voortzetten, evenals de publicatie van onze bevindingen. Intussen raden we u aan niet te vergeten uw traditionele antivirusoplossingen bij te werken en ten minste Acronis True Image 2019 uit te proberen, met onze cyberbeveiligingstechnologie Acronis Active Protection, of de gratis versie ervan te downloaden als zelfstandige applicatie Acronis Ransomware Protection.
Verwerkt op basis van Engelstalige bronnen van Acronis.
Bron: https://www.acronis.cz/novy-cryptojacking-blocker-ma-uz-po-mesici-skvele-vysledky/
Auteur van het artikel: ZEBR.ai-redactie
