Nedávno uplynul mesiac od poslednej aktualizácie Acronis True Image 2019 Cyber Protection, ktorá priniesla rozšírenie schopností aplikácie rozpoznávať v systémoch Windows malvér o novú kategóriu. Kybernetická ochrana po novom okrem ransomvéru rozpozná a zastaví aj cryptojacking malvér. A už prvý mesiac nám priniesol nečakane bohaté telemetrické dáta: po celom svete sme zaznamenali desaťtisíce detekcií, z ktorých vyplynul rad zaujímavých zistení, o ktoré by sme sa radi podelili.
Prekvapivé množstvo jedinečných malvérových kmeňov
Medzi najzaujímavejšie zistenia nepochybne patrí, že približne dvadsať percent odhalených napadnutí systémov používateľov cryptojacking malvérom bolo vykonaných doteraz nevídanými, respektíve doteraz neodhaliteľnými malvérovými kmeňmi.
Acronis Active Protection využíva na odhaľovanie cryptojacking malvéru rovnaké techniky, aké využíva na odhaľovanie jeho ransomvérových príbuzných – obe rodiny totiž na preniknutie do používateľského systému využívajú rovnaké vektory útoku a navyše náš softvér nepracuje s tradičnými definíciami hrozieb podľa ich správania, ale definuje ich podľa ich kódu pomocou efektívnych modelov strojového učenia, ktoré analýzu systému vykonávajú kontinuálne, takže útok je spravidla zastavený skôr, než sa naozaj začne. Klasické antivírusy si s jedinečným malvérom nedokážu poradiť, kým nie je aktualizovaná ich databáza, čo je spravidla neskoro.
Medzi už dobre známymi odhalenými cryptojacking malvérmi figurovali xmr-stak-cpu.exe, Claymore CryptoNote CPU Miner, rhminer a xmrig Monero miner. Staré a novo známe malvérové kmene, snažiace sa o neoprávnenú ťažbu, tvorili spolu 60 % detekcií, celých 40 % potom tvorilo legitímne použitie cryptomining kódu. Do tejto kategórie patria všetky procesy ťažby kryptomien pomocou webového prehliadača, ktorým používateľ vedome udelil výnimku. O tom, ako proces ťažby kryptomien funguje, si môžete viac prečítať tu.
Už ani poznámkový blok nie je v bezpečí
Z hľadiska aktívneho výskumu bolo ešte zaujímavejšie sledovať, čo sa spočiatku zdalo byť radom falošných poplachov. Naša ochrana opakovane označovala ako cryptojacking malvér legitímne procesy Windows, ako sú chrome.exe, java.exe, notepad.exe a najčastejšie setup.exe s 93 incidentmi pri dvoch unikátnych hashoch. Následná analýza našich výskumníkov ukázala, že išlo o prípady skoršej, až teraz odhalenej infekcie používateľských systémov trójskym koňom, ktorý do legitímnych procesov úspešne vložil kód na neoprávnenú ťažbu kryptomien.
Príklad infekcie notepad.exe cryptojacking malvérom, odhalený vďaka Acronis Active Protection.
Medzi už menej prekvapivé, ale stále hodnotné poznatky patrí, že rad systémov hlásiacich tieto „falošné poplachy“ patril medzi systémy s najväčším množstvom hlásení. V prípade jedného úspešného napadnutia teda zásadne rastie riziko opakovaných pokusov o napadnutie rovnakými aj inými malvérovými kmeňmi.
Myšlienka na záver
Vo výskume a analýze ransomvéru aj cryptojacking malvéru budeme pokračovať, rovnako ako v publikovaní našich poznatkov. Medzitým však odporúčame, aby ste nezabúdali aktualizovať svoje tradičné antivírusové riešenia a aby ste si aspoň vyskúšali Acronis True Image 2019, obsahujúci našu technológiu kybernetickej ochrany Acronis Active Protection, prípadne si stiahli jej bezplatnú verziu v podobe samostatnej aplikácie Acronis Ransomware Protection.
Spracované z anglických zdrojov Acronis.
Zdroj: https://www.acronis.cz/novy-cryptojacking-blocker-ma-uz-po-mesici-skvele-vysledky/
Autor článku: Redakcia ZEBR.ai
