Cryptojacking to rosnące ryzyko: hakerzy wykorzystują zasoby zainfekowanych komputerów lub urządzeń mobilnych, aby wykorzystać ich zasoby do szyfrowania. W maju i czerwcu 2022 r. Bitdefender odkrył globalną kampanię ataków, w której cyberprzestępcy wykorzystali znane luki w celu załadowania plików DLL w Microsoft OneDrive Wykorzystaj go do zainstalowania złośliwego oprogramowania szyfrującego na systemach ofiar.

• Zasadniczo mogą pobrać dowolne złośliwe oprogramowanie za pośrednictwem luki – w tym złośliwe oprogramowanie.
• Zaatakował 700 instancji Microsoft OneDrive wykrytych przez Bitdefender w maju i czerwcu 2022 roku.
• Niemcy należą do najbardziej dotkniętych krajów na świecie
• Firma Microsoft nie interpretuje sideloadingu DLL jako luki w zabezpieczeniach.
• Znana luka w zabezpieczeniach sideload nadaje się również do ataków ransomware lub infekcji spyware.

System operacyjny Windows i inne aplikacje są oparte na plikach DLL, które zapewniają lub rozszerzają funkcjonalność. Gdy aplikacja potrzebuje funkcji w określonej bibliotece DLL, szuka jej w określonej kolejności, najpierw w katalogu, z którego aplikacja została załadowana, a następnie w katalogu systemowym, w 16-bitowym katalogu systemowym, w katalogu Windows, w katalog aktualnie używany i ostatnio znajdujący się na liście katalogów w zmiennej środowiskowej path. Jeśli pełna ścieżka wymaganych plików DLL nie zostanie określona, ​​aplikacja spróbuje znaleźć plik w podanych ścieżkach. Jeśli hakerzy zaimplementują złośliwą bibliotekę DLL w ścieżce wyszukiwania, po cichu załadują i uruchomią aplikację zamiast aplikacji, która faktycznie jej potrzebuje.

Pobierz złośliwe pliki DLL za pośrednictwem OneDrive.exe lub OneDriveStandaloneUpdater.exe

W ataku analizowanym przez Bitdefender atakujący piszą fałszywy plik secure32.dll w ścieżce %appdata%\Local\Microsoft\OneDrive bez specjalnych uprawnień. OneDrive przetwarza OneDrive.exe lub OneDriveStandaloneUpdater.exe, a następnie je ładuje.

Ponieważ %appdata%\Local\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe ma być uruchamiany codziennie, fałszywe pliki DLL są nadal obecne w systemie ofiary.

Ponadto osoby atakujące instalują fałszywą bibliotekę DLL w systemie za pośrednictwem %appdata%\Local\Microsoft\OneDrive\OneDrive.exe. Możesz skonfigurować OneDrive.exe tak, aby uruchamiał się przy każdym ponownym uruchomieniu za pomocą rejestru systemu Windows.

Po załadowaniu fałszywego pliku secure32.dll za pośrednictwem tych procesów OneDrive, ponownie ładuje program szyfrujący i infekuje go w legalnych procesach Windows.

W ten sam sposób osoby atakujące mogą również instalować w systemach oprogramowanie ransomware lub spyware.

W kampanii kryptograficznej hakerzy wdrożyli algorytmy do kopania czterech kryptowalut: w szczególności Etchasch, a także ethash, ton i xmr. Cyberprzestępcy zarabiają średnio 13 USD na każdym zainfekowanym komputerze. Ofiary zauważają straty w wydajności systemów.

Microsoft: Zainstaluj OneDrive „na urządzenie”.

Użytkownicy mogą Microsoft OneDrive Zainstaluj „na użytkownika” lub „na urządzenie”. Domyślnym ustawieniem jest instalacja „na użytkownika”. W tej konfiguracji użytkownicy bez specjalnych uprawnień mogą pisać do folderu, w którym znajduje się OneDrive. Hakerzy mogą tutaj umieszczać złośliwe oprogramowanie, modyfikować pliki wykonywalne lub całkowicie je nadpisywać. Dlatego firma Microsoft zaleca zainstalowanie usługi OneDrive „na urządzenie”. Możesz znaleźć instrukcje, jak to zrobić tutaj.

Potrzebne są więcej środków ostrożności

Jednak instalacja „na urządzenie” nie jest odpowiednia dla każdego środowiska lub każdego poziomu uprawnień. Dlatego Bitdefender ostrzega użytkowników OneDrive, aby byli bardzo ostrożni. Zarówno ochrona antywirusowa, jak i używany system operacyjny powinny być zawsze aktualne. Zachowaj ostrożność podczas pobierania złamanego oprogramowania lub cheatów do gier.

Więcej informacji:

pełne studium tutaj Do dyspozycji.

www.bitdefender.com