Investigadores de segurança descobriram uma nova campanha de mineração de criptomoedas que tem como alvo sistemas equipados com placas gráficas de alta capacidade. Segundo um relatório publicado pela Microsoft, os atacantes estão a usar táticas de manipulação de resultados de pesquisa e a enganar ferramentas baseadas em inteligência artificial para distribuir software malicioso sem levantar suspeitas.
Como a infeção chega aos utilizadores
A estratégia principal do ataque baseia-se em oferecer versões falsas de programas utilitários muito procurados por entusiastas de hardware e profissionais que montam ou otimizam computadores. Entre os softwares imitados encontram-se aplicações bastante conhecidas na comunidade, como o CrystalDiskInfo, HWMonitor, Display Driver Uninstaller, FurMark e até o K-Lite Codec Pack.
Quando os utilizadores tentam procurar por estas ferramentas nos motores habituais, são frequentemente direcionados para páginas fraudulentas devido a táticas de envenenamento de pesquisa (SEO poisoning). O mais preocupante é que os investigadores notaram que até assistentes virtuais como o ChatGPT chegaram a recomendar as ligações controladas pelos piratas informáticos quando lhes era pedido um local de descarregamento fidedigno para estes utilitários.
O pacote malicioso chega geralmente na forma de um ficheiro comprimido. Ao ser extraído e executado, o programa abre efetivamente o utilitário legítimo para criar uma falsa sensação de segurança. No entanto, em segundo plano, carrega bibliotecas disfarçadas que instalam a ferramenta de acesso remoto ScreenConnect, garantindo uma presença contínua e silenciosa na máquina da vítima.
Ocupação do sistema e mineração oculta
Com a porta de entrada assegurada, o atacante utiliza o acesso remoto para descarregar um ficheiro executável secundário concebido para se alojar em pastas ocultas do sistema. Este ficheiro tem a capacidade de criar seis mecanismos diferentes de persistência, garantindo que é sempre iniciado automaticamente em conjunto com o sistema operativo Windows.
Para evitar a deteção pelas ferramentas de segurança tradicionais, o malware recorre a uma técnica complexa que lhe permite injetar e correr o seu código malicioso dentro de processos legítimos assinados. Chega mesmo a utilizar a linha de comandos nativa para se adicionar à lista de exclusões de análise, garantindo que atua sem interrupções. Além disso, se detetar que está a ser monitorizado ou a correr numa máquina virtual de testes, o código encerra-se de forma autónoma.
Quando todo o ambiente está preparado e seguro para os atacantes, o sistema descarrega módulos específicos de mineração de criptomoedas, como o gminer ou o lolMiner, que são altamente otimizados para extrair o máximo rendimento das placas gráficas instaladas no computador. Toda esta operação demonstra uma clara aposta em rentabilizar ao máximo cada máquina infetada de alta performance, em vez de se focar apenas num grande volume de vítimas com equipamentos menos capazes.
Nenhum comentário
Seja o primeiro!