Niedawno minął miesiąc od ostatniej aktualizacji Acronis True Image 2019 Cyber Protection, która rozszerzyła możliwości aplikacji w zakresie rozpoznawania malware w systemach Windows o nową kategorię. Od teraz ochrona cybernetyczna oprócz ransomware rozpoznaje i zatrzymuje również cryptojacking malware. Już pierwszy miesiąc przyniósł nam zaskakująco bogate dane telemetryczne: na całym świecie odnotowaliśmy dziesiątki tysięcy detekcji, z których wynikło wiele interesujących wniosków, którymi chcielibyśmy się podzielić.
Zaskakująca liczba unikalnych szczepów malware
Do najciekawszych wniosków bez wątpienia należy fakt, że około dwudziestu procent wykrytych infekcji systemów użytkowników malware cryptojacking zostało przeprowadzonych przez dotąd niewidziane, a właściwie dotąd niewykrywalne szczepy malware.
Acronis Active Protection wykorzystuje do wykrywania malware cryptojacking te same techniki, które stosuje do wykrywania jego ransomware’owych krewnych – obie rodziny wykorzystują bowiem te same wektory ataku do przeniknięcia do systemu użytkownika, a ponadto nasze oprogramowanie nie działa w oparciu o tradycyjne definicje zagrożeń według ich zachowania, lecz definiuje je na podstawie ich kodu za pomocą skutecznych modeli uczenia maszynowego, które analizują system w sposób ciągły, dzięki czemu atak jest zazwyczaj zatrzymywany, zanim naprawdę się rozpocznie. Klasyczne antywirusy nie potrafią poradzić sobie z unikalnym malware, dopóki ich baza danych nie zostanie zaktualizowana, a wtedy zazwyczaj jest już za późno.
Wśród dobrze znanych wykrytych malware cryptojacking znalazły się xmr-stak-cpu.exe, Claymore CryptoNote CPU Miner, rhminer oraz xmrig Monero miner. Stare i nowo znane szczepy malware próbujące prowadzić nieuprawnione wydobywanie stanowiły łącznie 60% detekcji, a pełne 40% stanowiło legalne użycie kodu cryptomining. Do tej kategorii należą wszystkie procesy wydobywania kryptowalut za pomocą przeglądarki internetowej, na które użytkownik świadomie udzielił wyjątku. Więcej o tym, jak działa proces wydobywania kryptowalut, można przeczytać tutaj.
Nawet Notatnik nie jest już bezpieczny
Z perspektywy aktywnych badań jeszcze ciekawsze było obserwowanie tego, co początkowo wydawało się serią fałszywych alarmów. Nasza ochrona wielokrotnie oznaczała jako malware cryptojacking legalne procesy Windows, takie jak chrome.exe, java.exe, notepad.exe, a najczęściej setup.exe – 93 incydenty z dwoma unikalnymi hashami. Późniejsza analiza naszych badaczy wykazała, że były to przypadki wcześniejszej infekcji systemów użytkowników koniem trojańskim, wykrytej dopiero teraz, który skutecznie wstrzyknął do legalnych procesów kod służący do nieuprawnionego wydobywania kryptowalut.
Przykład infekcji notepad.exe malware cryptojacking, wykrytej dzięki Acronis Active Protection.
Do mniej zaskakujących, ale wciąż wartościowych spostrzeżeń należy fakt, że wiele systemów zgłaszających te „fałszywe alarmy” należało do systemów z największą liczbą zgłoszeń. W przypadku jednego udanego ataku istotnie wzrasta więc ryzyko ponownych prób ataku przez te same lub inne szczepy malware.
Myśl na zakończenie
Będziemy kontynuować badania i analizę ransomware oraz malware cryptojacking, podobnie jak publikowanie naszych wniosków. Tymczasem zalecamy, aby nie zapominać o aktualizowaniu tradycyjnych rozwiązań antywirusowych oraz aby przynajmniej wypróbować Acronis True Image 2019, zawierający naszą technologię ochrony cybernetycznej Acronis Active Protection, lub pobrać jego bezpłatną wersję w postaci samodzielnej aplikacji Acronis Ransomware Protection.
Opracowano na podstawie angielskich źródeł Acronis.
Źródło: https://www.acronis.cz/novy-cryptojacking-blocker-ma-uz-po-mesici-skvele-vysledky/
Autor artykułu: Redakcja ZEBR.ai
