Shadowsocks Miner Trojan

O Shadowsocks Miner Trojan é um nome de detecção dado a um programa que é usado para a mineração de crypto-moedas digitais como o Monero, o Dashcoin, o DarkNetCoin e outros. O Shadowsocks Miner Trojan é um minerador que depende do CPU e é muito semelhante ao Moloko CPU Miner e ao Gplyra Miner, que abordamos anteriormente em 2017. O Shadowsocks Miner Trojan é uma ameaça que foi descoberta em 10 de outubro de 2017. Os pesquisadores de segurança informática alertam que o Shadowsocks CPU Miner pode ser implantado nos sistemas via pacotes de software e da invasão manual dos computadores visados. O Shadowsocks Miner Trojan seqüestra um pouco mais de 70% dos recursos do sistema comprometido para as suas necessidades. Os usuários de PC podem notar pistas que apontam para uma infecção pelo Shadowsocks Miner Trojan, que incluem:

• O redimensionamento da janela pode ser lento.
• Os jogos podem não funcionar corretamente.
• Os vídeos podem ratear e abrir mais devagar.
• O lançamento do programa Yje pode ser adiado.

Você pode estar interessado em saber que o Shadowsocks Miner Trojan parece estar usando uma cópia modificada do serviço intermediário de fonte aberta do Shadowsocks para as suas comunicações de rede. Por isso, o criador do Shadowsocks Miner Trojan pode esconder a fonte de comandos para o Trojan. Pesquisadores informaram que o Shadowsocks Miner Trojan pode ser listado como 'Websock.exe' no Gerenciador de Tarefas e possui a descrição 'Utilitário da CPU'. Logo que o 'Websock.exe' for carregado, os usuários podem notar um segundo processo denominado 'Service.exe', que tem a descrição 'taskxmr'. Ambos os processos estão conectados ao Shadowsocks Miner Trojan e servem como um módulo de comunicação e como o mecanismo que administra as operações de mineração digital.

O aumento no preço do Bitcoin e de outras moedas digitais, bem como o apoio crescente para pagamentos digitais registrados de fevereiro de 2017 a setembro de 2017, podem explicar por que estamos vendo muitos Trojans mineradores na paisagem de ameaças. Não é surpreendente que os criadores de ameaças possam procurar se aproveitar da "Febre do Ouro" dos dias modernos e usar emails de spam, explorações de dia zero e falsas atualizações de software para espalhar programas como o Shadowsocks Miner Trojan. Recomenda-se que os usuários de PC empreguem os serviços de uma solução anti-malware respeitável que pode evitar que os Trojans mineradores seqüestrem os recursos do sistema em benefício dos hackers do Black Hat.

Índice

Toggle

Relatório de análise

Informação geral

Nome de família:	Trojan.Zegost.F
Status da assinatura:	No Signature

Amostras conhecidas

i

Amostras conhecidas

Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.

MD5: f925e64ea86b4dbf9940e5ad4264c163 SHA1: 090f9a26d04da3727c067af15511b6afe5ef24d7 SHA256: FE27FC9C18EA97AD932ED79BF4F662AC935C2FBCCAB1F685273DD7C60E9F3AF5 Tamanho do Arquivo: 2.45 MB.2453670 bytes

MD5: 82c05c81b7a5dec2a32e14b364856fb0 SHA1: 128e66307776ff494f59ab6c0800d45d804aa36a SHA256: 08DA684E9DA2E772C11BE2A7853D21B100D5ADA01DA380D20EFB172692D47F21 Tamanho do Arquivo: 225.20 KB.225197 bytes

MD5: e6df7038c5be94c2d36118a1089cfd2b SHA1: fe1b8e99d60738aaee3b69a91001acea238215de SHA256: 9E0E15E06DF4CA6BFC957A874922EFF4AE08E1C671A7B00FB345C7CF7E427428 Tamanho do Arquivo: 1.26 MB.1261606 bytes

MD5: 145d4a2622bdfc5a517fe24a64e411d0 SHA1: dc764e70255f3e92c726a882fde40f49413e96e6 SHA256: 1C751A217482877E5B3426A8530FC27561BCCA8878BE81F32B961277D56540E5 Tamanho do Arquivo: 9.73 KB.9728 bytes

MD5: 90db087840de723c69ddfb52e12eb4eb SHA1: 06fe4b2741b0bda8d3d433c2a5c2a32427b26892 SHA256: 401F1F38DE8EF43DDA1B349BCB46E7C87CAE30FD8AABA9D359107633FB890E1D Tamanho do Arquivo: 1.26 MB.1261575 bytes

Mostrar mais

MD5: 1a7cca27e0d2526d4b9bbe56883926fc SHA1: 17c8f5f36867e8f2de174f8b42a2b3408a8ca21a SHA256: 74C22E2136734BC5241551723B382C075520893BC44DF311BA5939759380FFFB Tamanho do Arquivo: 1.01 MB.1011856 bytes

Atributos do executável portátil do Windows

i

Atributos do executável portátil do Windows

Esta seção lista os atributos de arquivo encontrados nas amostras da família. Esses atributos são extraídos da especificação Windows PE (Portable Executable) dos arquivos e de vários sinalizadores do sistema. Os atributos do Portable Executable fornecem aos pesquisadores de malware informações sobre a funcionalidade de um arquivo, detalhes do executável, plataforma e ambiente de execução.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have resources
• File doesn't have security information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)

Mostrar mais

• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Ícones de arquivo

i

Ícones de arquivo

Esta seção exibe os recursos de ícones encontrados nas amostras da família. O malware frequentemente replica ícones comumente associados a softwares legítimos para enganar os usuários e fazê-los acreditar que o malware é seguro.

Características do arquivo

• big overlay
• No Version Info
• x86

Informações do bloco

i

Informações do bloco

Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.

Total de blocos:	15
Blocos potencialmente maliciosos:	0
Blocos permitidos:	13
Blocos desconhecidos:	2

Mapa visual

0 0 0 0 ? 0 ? 0 0 0 0 0 0 0 0

0 - Bloco Provavelmente Seguro
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso

Famílias semelhantes

i

Famílias semelhantes

Esta seção lista outras famílias que compartilham semelhanças com esta família, com base na análise da EnigmaSoft. Muitas famílias de malware são criadas a partir dos mesmos kits de ferramentas e utilizam as mesmas técnicas de compactação e criptografia, mas ampliam sua funcionalidade de forma exclusiva. Famílias semelhantes também podem compartilhar código-fonte, atributos, ícones, subcomponentes, assinaturas digitais comprometidas e/ou inválidas e características de rede. Os pesquisadores exploram essas semelhanças para triar amostras de arquivos de forma rápida e eficaz e aprimorar as regras de detecção de malware.

• Zegost.A
• Zegost.E
• Zegost.F
• Zegost.I

Arquivos modificados

i

Arquivos modificados

Esta seção lista os arquivos que foram criados, modificados, movidos e/ou excluídos por amostras desta família. A atividade do sistema de arquivos pode fornecer informações valiosas sobre como o malware funciona no sistema operacional.

Arquivo	Atributos
c:\program files\apppatch\netsyst81.dll	Generic Write,Read Attributes

Utilização da API do Windows

i

Utilização da API do Windows

Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.

Categoria	API
Network Wininet	InternetOpen InternetOpenUrl