Pred kratkim je minil mesec od zadnje posodobitve Acronis True Image 2019 Cyber Protection, ki je razširila zmogljivosti aplikacije za prepoznavanje malwara v sistemih Windows z novo kategorijo. Kibernetska zaščita zdaj poleg ransomwarea prepozna in ustavi tudi cryptojacking malware. Že prvi mesec nam je prinesel nepričakovano bogate telemetrične podatke: po vsem svetu smo zaznali več deset tisoč detekcij, iz katerih je izšlo več zanimivih ugotovitev, ki bi jih radi delili z vami.
Presenetljivo veliko edinstvenih sevov malwara
Med najzanimivejšimi ugotovitvami je nedvomno ta, da je približno dvajset odstotkov odkritih napadov na uporabniške sisteme s cryptojacking malwareom izvedenih z doslej nevidenimi oziroma doslej nezaznavnimi sevi malwara.
Acronis Active Protection za odkrivanje cryptojacking malwara uporablja enake tehnike, kot jih uporablja za odkrivanje njegovih sorodnikov ransomwarea – obe družini namreč za vdor v uporabniški sistem uporabljata iste vektorje napadov, poleg tega naša programska oprema ne uporablja tradicionalnih definicij groženj glede na njihovo vedenje, temveč jih na podlagi njihove kode opredeljuje z učinkovitimi modeli strojnega učenja, ki analizo sistema izvajajo neprekinjeno, zato je napad praviloma ustavljen, še preden se zares začne. Klasični protivirusni programi se z edinstvenim malwareom ne morejo spopasti, dokler ni posodobljena njihova zbirka podatkov, kar je praviloma prepozno.
Med že dobro znanimi odkritimi cryptojacking malwari so bili xmr-stak-cpu.exe, Claymore CryptoNote CPU Miner, rhminer in xmrig Monero miner. Stari in na novo znani sevi malwara, ki so poskušali nepooblaščeno rudariti, so skupaj predstavljali 60 % detekcij, kar 40 % pa je predstavljala zakonita uporaba cryptomining kode. V to kategorijo spadajo vsi procesi rudarjenja kriptovalut z uporabo spletnega brskalnika, za katere je uporabnik zavestno odobril izjemo. Več o tem, kako deluje proces rudarjenja kriptovalut, lahko preberete tukaj.
Tudi Beležnica ni več varna
Z vidika aktivnega raziskovanja je bilo še zanimiveje spremljati, kar se je sprva zdelo kot vrsta lažnih alarmov. Naša zaščita je kot cryptojacking malware večkrat označila zakonite procese Windows, kot so chrome.exe, java.exe, notepad.exe in najpogosteje setup.exe s 93 incidenti pri dveh edinstvenih hashih. Nadaljnja analiza naših raziskovalcev je pokazala, da je šlo za primere starejših, šele zdaj odkritih okužb uporabniških sistemov s trojanskim konjem, ki je v zakonite procese uspešno vstavil kodo za nepooblaščeno rudarjenje kriptovalut.
Primer okužbe procesa notepad.exe s cryptojacking malwareom, odkrite zaradi Acronis Active Protection.
Med manj presenetljive, vendar še vedno dragocene ugotovitve sodi, da so številni sistemi, ki so poročali o teh »lažnih alarmih«, spadali med sisteme z največjim številom poročil. V primeru enega uspešnega napada se zato bistveno poveča tveganje ponavljajočih se poskusov napada z enakimi ali drugimi sevi malwara.
Zaključna misel
Nadaljevali bomo z raziskovanjem in analizo ransomwarea ter cryptojacking malwara, prav tako pa tudi z objavljanjem naših ugotovitev. Medtem priporočamo, da ne pozabite posodabljati svojih tradicionalnih protivirusnih rešitev in da vsaj preizkusite Acronis True Image 2019, ki vsebuje našo tehnologijo kibernetske zaščite Acronis Active Protection, oziroma prenesete njeno brezplačno različico v obliki samostojne aplikacije Acronis Ransomware Protection.
Pripravljeno na podlagi angleških virov Acronis.
Vir: https://www.acronis.cz/novy-cryptojacking-blocker-ma-uz-po-mesici-skvele-vysledky/
Avtor članka: Uredništvo ZEBR.ai
