恶意KMSPico安装器可窃取加密货币钱包-低调大师

恶意KMSPico安装器可窃取加密货币钱包

2021-12-08 447

攻击者通过传播恶意KMSpico 安装器来感染Windows设备，并窃取加密货币钱包。

KMSpico安装器是一款非常流行的Windows和office产品激活工具，可以模拟Windows密钥管理服务(Key Management Services，KMS)来欺诈性地激活证书。许多IT公司都使用KMSPico激活Windows服务，而不购买合法的微软证书。

近期，Red Canary安全研究人员发现有攻击者通过传播修改的恶意KMSpico安装器来感染Windows设备。

修改的产品激活器

分发的KMSPico中包含广告恶意软件和恶意软件。下图中可以看出，攻击者创建了大量的网站来分发KMSPico，都声称是官方网站。

谷歌搜索KMSPico返回的结果都称是官方网站

RedCanary通过分析发现，恶意KMSPico安装器来自7-zip这样的自提取的可执行文件，其中既包含KMS服务器模拟器，还包括Cryptbot。

用户点击恶意链接，下载KMSPico或者Cryptbot或其他不含KMSPico的恶意软件，就会被感染。安装KMSPico的同时也会同时部署Cryptbot。

恶意软件还被CypherIT打包器封装，混淆安装器来预防被安全软件检测到。然后，安装器会启动一个严重混淆的脚本，该脚本可以检测沙箱和反病毒模拟环境，如果发现就不会执行。

混淆的Cryptbot代码

此外，Cryptobot会检查是否存在%APPDATA%\Ramson，如果文件夹存在就执行自删除过程来预防再次感染。攻击者通过process hollowing方法将Cryptbot字节注入到内存中，恶意软件的其他特征与之前发现的特征有重合。

总的来看， Cryptbot 可以从以下APP中收集敏感信息：

Atomic加密货币钱包
Avast安全web浏览器
Brave浏览器
Ledger Live加密货币钱包
Opera Web浏览器
Waves Client and Exchange加密货币应用
Coinomi加密货币钱包
Google Chrome Web浏览器
Jaxx Liberty加密货币钱包
Electron Cash加密货币钱包
Electrum加密货币钱包
Exodus加密货币钱包
Monero加密货币钱包
MultiBitHD加密货币钱包
Mozilla Firefox Web浏览器
CCleaner Web浏览器
Vivaldi Web浏览器

因为Cryptbot的操作并不依赖硬盘上未加密的二进制文件的存在，只可以通过监控PowerShell命令执行或者外部网络通信等恶意行为监控来实现检测。

完整技术分析参见：https://redcanary.com/wp-content/uploads/2021/12/KMSPico-V5.pdf

本文翻译自：https://www.bleepingcomputer.com/news/security/malicious-kmspico-installers-steal-your-cryptocurrency-wallets/如若转载，请注明原文地址。

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202112/694228.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Google起诉两名利用其服务帮助操纵僵尸网络的俄罗斯人

Google 正起诉两名俄罗斯人，称他们操纵着一个复杂的僵尸网络发起了多次攻击，该网络已经悄悄地渗透到全球 100 多万台 Windows 机器中。在设备被感染之后，僵尸网络就会窃取用户的证书和数据，秘密挖掘加密货币，并设置代理，通过受感染的机器和路由器输送其他人的互联网流量。图片来自于 internetsecurity 在一份提交给纽约南区美国地方法院的诉状中，Google 称俄罗斯国民德米特里·斯塔罗维科夫(Dmitry Starovikov)和亚历山大·菲利波夫(Alexander Filippov)是 Glupteba 僵尸网络的两个主要操作者，并列举了据称他们创建的 Gmail 和 Google Workspace 账户来帮助他们运作犯罪企业。 Google 声称，两名被告利用僵尸网络(被描述为“现代的、无边界的有组织犯罪的技术体现”)，包括盗窃和未经授权使用 Google 用户的登录和账户信息。它要求 Starovikov 和 Filippov 支付赔偿金，并永久禁止使用 Google 服务。 Google 表示自 2020 年以来一直在追踪 Glupteba 僵尸网络，...

2021-12-08

400

在过去的几年里，网络犯罪分子以全球大流行病为主题设计了各种各样的网络钓鱼骗局，同样他们也利用了人们对最新的COVID-19变种Omicron的传播的恐慌进行了诈骗。当全球各地的公共卫生专业人员努力应对他们所担心的可能比Delta更危险的COVID-19变体时，威胁者利用该机会进行网络钓鱼诈骗攻击。英国消费者监督机构 "Which" 已经发出警报：一个新的网络钓鱼骗局，通过伪造国家卫生服务机构(NHS)的官方信息，称政府会提供免费的COVID-19 Omicron变体的PCR测试。美国疾病控制中心(CDC)和世界卫生组织(WHO)将Omicron列为COVID-19病毒中的一个非常值得关注的变体，并在本周警告说，它正在世界范围内迅速蔓延。据CBS新闻报道，公共卫生专家还不确定目前的疫苗和其他缓解策略对该变种的效果如何。全球大流行病的爆发再一次为犯罪分子提供了机会。人们对于Omicron的焦虑促进了犯罪分子的攻击犯罪分子通过短信、电子邮件，甚至通过电话来联系英国各地的人们，向他们提供他们所说的专门用于检测Omicron变体的新检测试剂盒。 NHS的科学家警告说，新的Covid变...

2021-12-08

503

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。