Kampaň proti kryptomenám XMRig

Rozsiahle vyšetrovania odhalili sofistikovanú kampaň zameranú na kryptojacking, ktorá využíva pirátske softvérové balíčky na infikovanie systémov prispôsobeným minerom XMRig. Táto operácia sa vo veľkej miere spolieha na sociálne inžinierstvo a propaguje bezplatné prémiové aplikácie, ako sú napríklad cracknuté kancelárske balíky, aby nalákala používateľov na stiahnutie inštalačných súborov infikovaných trójskymi koňmi.

Tieto škodlivé spustiteľné súbory slúžia ako primárny vstupný bod. Po spustení spustia starostlivo premyslený proces infekcie, ktorý je navrhnutý tak, aby maximalizoval výkon ťažby kryptomien, často na úkor stability systému. Spoliehanie sa kampane na klamlivé distribučné taktiky zdôrazňuje pretrvávajúcu účinnosť softvérového pirátstva ako kanála na šírenie škodlivého softvéru.

Modulárny infekčný engine s viacerými prevádzkovými režimami

Jadrom útoku je multifunkčný binárny súbor, ktorý funguje ako riadiace centrum životného cyklu infekcie. Tento komponent, ktorý funguje ako inštalátor, strážny program, správca dát a čistiaci nástroj, dohliada na nasadenie, trvalosť, monitorovanie a potenciálne samoodstránenie.

Modulárny dizajn malvéru oddeľuje monitorovacie funkcie od základných dát zodpovedných za ťažbu, eskaláciu privilégií a perzistenciu. Prevádzková flexibilita sa dosahuje prostredníctvom špecifických argumentov príkazového riadku, ktoré umožňujú odlišné režimy vykonávania:

Bez parametra : Vykoná overenie prostredia a spracuje inštaláciu a migráciu v počiatočnej fáze.

002 Re:0 : Zruší primárne užitočné zaťaženie, spustí ťažobný program a vstúpi do monitorovacej slučky.

016 : Reštartuje ťažiareň, ak je ukončená.

barusu : Spustí samodeštrukčnú sekvenciu, ukončí komponenty škodlivého softvéru a odstráni súvisiace súbory.

Tento štruktúrovaný prístup k prepínaniu režimov zvyšuje odolnosť a zabezpečuje trvalú ťažobnú činnosť aj pri prijatí obranných opatrení.

Vstavaná logická bomba a časované vyradenie z prevádzky

Pozoruhodnou charakteristikou malvéru je zahrnutie logickej bomby. Binárny súbor načíta miestny čas systému a porovná ho s pevne zakódovaným termínom 23. decembra 2025.

• Ak sa malvér spustí pred 23. decembrom 2025, pokračuje v trvalej inštalácii a nasadení ťažobného softvéru.
• Ak sa vykoná po tomto dátume, automaticky sa reštartuje pomocou parametra „barusu“, čím sa spustí riadený proces samovyradenia z prevádzky.

Vopred definovaný limit naznačuje, že kampaň mala prebiehať nepretržite do tohto dátumu. Termín môže zodpovedať uplynutiu prenajatej infraštruktúry velenia a riadenia, očakávaným zmenám na trhu s kryptomenami alebo strategickému prechodu na nástupnícky kmeň malvéru.

Eskalácia privilégií a optimalizácia ťažby prostredníctvom BYOVD

Počas štandardnej infekčnej rutiny binárny súbor, ktorý funguje ako samostatný nosič, zapíše všetky potrebné komponenty na disk. Medzi nimi je aj legitímny spustiteľný súbor služby Windows Telemetry, ktorý sa zneužíva na načítanie škodlivej knižnice DLL pre ťažbu.

Sú tiež nasadené mechanizmy perzistencie spolu s komponentmi určenými na deaktiváciu bezpečnostných nástrojov. Na zabezpečenie zvýšených oprávnení na spustenie používa malvér techniku BYOVD (prines si vlastný zraniteľný ovládač) s použitím chybného ovládača „WinRing0x64.sys“. Tento ovládač je ovplyvnený zraniteľnosťou CVE-2020-14979 so skóre CVSS 7,8, ktorá umožňuje eskaláciu oprávnení.

Integráciou tohto exploitu priamo do prispôsobeného ťažobného nástroja XMRig získajú útočníci nízku úroveň kontroly nad konfiguráciami CPU. Táto optimalizácia zvyšuje výkon ťažby RandomX približne o 15 % až 50 %, čo výrazne zlepšuje ziskovosť.

Červovité šírenie a laterálny pohyb

Na rozdiel od tradičných trójskych koní, ktoré sú závislé výlučne od počiatočného spustenia používateľom, tento variant XMRig obsahuje funkcie agresívneho šírenia. Aktívne sa šíri prostredníctvom vymeniteľných úložných zariadení, čo umožňuje laterálny pohyb medzi systémami vrátane tých v prostredí s obmedzenou výdržou vzduchu.

Táto schopnosť podobná červom transformuje malvér na samovoľne sa šíriacu hrozbu, čím podstatne rozširuje svoj dosah v rámci organizačných sietí a zvyšuje rozsah botnetu.

Operačný harmonogram a strategické dôsledky

Forenzné dôkazy naznačujú prerušovanú ťažobnú činnosť počas celého novembra 2025, po ktorej nasledoval výrazný nárast od 8. decembra 2025. Tento vzorec naznačuje postupné nasadzovanie alebo aktivačné stratégie zamerané na zabránenie včasnému odhaleniu.

Kampaň podčiarkuje prebiehajúci vývoj komoditného malvéru. Kombináciou sociálneho inžinierstva, vydávania sa za legitímny softvér, šírenia v štýle červov a zneužívania na úrovni jadra vytvorili útočníci odolnú a vysoko výkonnú botnetovú sieť na ťažbu kryptomien schopnú trvalej a optimalizovanej ťažby kryptomien.