Троянец-майнер самостоятельно распространяется по сети

Объем вычислительных ресурсов, требуемых для получения единицы криптовалюты (например, Bitcoin) значительно вырос, а интерес к данной технологии стороны хакеров пропорционально снизился. Однако эксперты периодически продолжают находить новые вирусы-майнеры, созданные специально для генерации электронных валют. Один из последних образцов занесен в базу как Trojan.BtcMine.737.

Архитектура данного вируса напоминает по строению классическую матрешку – три независимых инсталлятора вложены друг в друга. Первый компонент утилиты - относительно простой дроппер: он просто извлекает исполняемый модуль другого инсталлятора, запускает его и удаляет исходный файл.

Второй инсталлятор обладает более широким функционалом – по возможностям он напоминает типичного червя. Первоначально осуществляется сохранение в каталоге компьютера и запуск файла CNminer.exe (также является установщиком). Далее утилита создает собственную копию в каталоге «Документы» и папке автозагрузки, а также в новой директории, которая автоматически делается доступной из локальной сети. Копии вредоносной программы имеют вид файла с названием Key и иконкой WinRAR-архива, что часто вводит потенциальную жертву в заблуждение.

Далее троянская программа создает собственную копию на всех локальных дисках (эта операция периодически повторяется). Вредоносное приложение также пытается незаметно подобрать пароль к локальному аккаунту Windows. В случае успеха Trojan.BtcMine.737 делает попытку запустить на взломанном ПК Wi-Fi точку доступа (при физическом наличии соответствующих модулей).

Если опасной программе удается незаметно получить доступ к другому компьютеру через локальную сеть, осуществляется попытка отправить и активировать копию вируса. Используется либо встроенный планировщик заданий, либо инструмент Windows Management Instrumentation.

Приложение CNminer.exe, которое вирус Trojan.BtcMine.737 копирует на втором этапе инсталляции, и устанавливает программу для добычи криптовалюты (майнинга). После активации CNminer.exe

сохраняет в папке файлы майнера, а также небольшой текстовый файл конфигурации. Ссылка на вредоносный исполняемый файл вносится в реестр Windows для обеспечения автозагрузки.