Novo bloqueador de cryptojacking já apresenta ótimos resultados após apenas um mês

Recentemente completou-se um mês desde a última atualização do Acronis True Image 2019 Cyber Protection, que ampliou a capacidade do aplicativo de reconhecer malware em sistemas Windows com uma nova categoria. Agora, além de ransomware, a proteção cibernética também reconhece e interrompe malware de cryptojacking. E já no primeiro mês recebemos dados telemétricos inesperadamente ricos: registramos dezenas de milhares de detecções em todo o mundo, das quais surgiram várias descobertas interessantes que gostaríamos de compartilhar.

 

 

Quantidade surpreendente de variantes únicas de malware

Entre as descobertas mais interessantes está, sem dúvida, o fato de que cerca de vinte por cento dos ataques detectados a sistemas de usuários por malware de cryptojacking foram realizados por variantes de malware até então nunca vistas, ou melhor, até então indetectáveis.

O Acronis Active Protection utiliza para a detecção de malware de cryptojacking as mesmas técnicas usadas para detectar seus semelhantes de ransomware — afinal, ambas as famílias utilizam os mesmos vetores de ataque para penetrar no sistema do usuário. Além disso, nosso software não trabalha com definições tradicionais de ameaças com base em seu comportamento, mas as define por seu código usando eficientes modelos de aprendizado de máquina, que realizam continuamente a análise do sistema; assim, o ataque geralmente é interrompido antes de realmente começar. Antivírus convencionais não conseguem lidar com malware único até que seu banco de dados seja atualizado, o que geralmente acontece tarde demais.

Entre os malwares de cryptojacking já bem conhecidos detectados estavam xmr-stak-cpu.exe, Claymore CryptoNote CPU Miner, rhminer e xmrig Monero miner. Variantes de malware antigas e recém-conhecidas, que tentavam realizar mineração não autorizada, representaram juntas 60% das detecções, enquanto os 40% restantes consistiram em uso legítimo de código de cryptomining. Esta categoria inclui todos os processos de mineração de criptomoedas por meio do navegador da web, aos quais o usuário concedeu conscientemente uma exceção. Você pode ler mais sobre como funciona o processo de mineração de criptomoedas aqui.

 

Nem mesmo o Bloco de Notas está seguro

Do ponto de vista da pesquisa ativa, foi ainda mais interessante observar o que inicialmente parecia ser uma série de falsos positivos. Nossa proteção identificava repetidamente processos legítimos do Windows como chrome.exe, java.exe, notepad.exe e, mais frequentemente, setup.exe, com 93 incidentes de dois hashes únicos, como malware de cryptojacking. A análise posterior de nossos pesquisadores mostrou que se tratava de casos de infecção anterior dos sistemas dos usuários, revelada apenas agora, por um cavalo de Troia que inseriu com sucesso código de mineração não autorizada de criptomoedas em processos legítimos.

Exemplo de infecção do notepad.exe por malware de cryptojacking, detectada graças ao Acronis Active Protection.

Entre as descobertas menos surpreendentes, mas ainda valiosas, está o fato de que vários sistemas que relataram esses “falsos positivos” estavam entre os sistemas com o maior número de notificações. Portanto, no caso de um ataque bem-sucedido, o risco de tentativas repetidas de ataque pelas mesmas ou por outras variantes de malware aumenta significativamente.

 

Consideração final

Continuaremos a pesquisa e a análise de ransomware e malware de cryptojacking, assim como a publicação de nossas descobertas. Enquanto isso, recomendamos que você não se esqueça de atualizar suas soluções antivírus tradicionais e que pelo menos experimente o Acronis True Image 2019, que inclui nossa tecnologia de proteção cibernética Acronis Active Protection, ou baixe sua versão gratuita na forma do aplicativo independente Acronis Ransomware Protection.

 

Elaborado com base em fontes em inglês da Acronis.

 

Fonte: https://www.acronis.cz/novy-cryptojacking-blocker-ma-uz-po-mesici-skvele-vysledky/