A telemetria da Kaspersky confirmou mais de 2.000 utilizadores finais infetados com o malware depois de descarregarem a ferramenta, embora o número real de utilizadores afetados seja provavelmente muito superior. Um canal do YouTube comprometido, com 60.000 subscritores, publicou vários vídeos com ligações maliciosas que obtiveram mais de 400.000 visualizações. O arquivo infetado alojado num site fraudulento registou mais de 40.000 descarregamentos.

O malware, apelidado de SilentCryptoMiner, explora a crescente procura de ferramentas de contorno de restrições na Internet. A telemetria da Kaspersky mostra um aumento significativo no uso de drivers legítimos do Windows Packet Divert - uma tecnologia normalmente usada em utilitários de contorno -, com detecções que aumentaram de aproximadamente 280.000 em agosto para quase 500.000 em janeiro, totalizando mais de 2,4 milhões de deteções em seis meses.

Os atacantes visaram especificamente os utilizadores que procuram estas ferramentas de contorno, modificando um utilitário legítimo de contorno da Deep Packet Inspection (DPI), originalmente publicado no GitHub. A sua versão maliciosa mantém a funcionalidade original para evitar suspeitas, mas instala secretamente o SilentCryptoMiner, que recolhe recursos informáticos para minerar criptomoedas sem o conhecimento ou consentimento dos utilizadores, degradando significativamente o desempenho do dispositivo e aumentando os custos de eletricidade.

“Esta campanha demonstra uma evolução preocupante nas tácticas de distribuição de malware”, afirma Leonid Bezvershenko, investigador de segurança do GReAT da Kaspersky. “Embora inicialmente se destinasse a utilizadores de língua russa, esta abordagem poderia facilmente estender-se a outras regiões à medida que a fragmentação da Internet aumenta a nível mundial. O esquema aproveita eficazmente os criadores de conteúdos de confiança como cúmplices involuntários, o que funciona em qualquer mercado onde os utilizadores procurem ferramentas para contornar as restrições online.”

Quando as soluções de segurança detetam e removem os componentes maliciosos, o instalador modificado incentiva os utilizadores a desativar a sua proteção antivírus com mensagens como “Ficheiro não encontrado, desligue todos os antivírus e volte a descarregar o ficheiro, vai ajudar!”, comprometendo ainda mais a segurança do sistema.

O Kaspersky GReAT identificou vários indicadores de comprometimento, incluindo ligações a domínios como swapme[.]fun e canvas[.]pet, juntamente com hashes de ficheiros específicos. Os atacantes demonstram persistência, criando rapidamente canais de distribuição quando os anteriores são bloqueados.

Para uma análise técnica detalhada desta ameaça, visite o Securelist.com.

Para evitar ser vítima destas ameaças, a Kaspersky recomenda:

• Nunca desative a sua solução de segurança quando os ficheiros de instalação o solicitarem, uma vez que esta é uma tática comum para facilitar a implementação de malware.
• Preste atenção a comportamentos invulgares do dispositivo, como sobreaquecimento, consumo de bateria ou degradação do desempenho, que podem indicar atividade de mineração.
• Utilize uma solução de segurança fiável, como o Kaspersky Premium, que pode detetar malware de mineração de criptomoedas, mesmo quando este tenta ocultar a sua atividade.
• Não se esqueça de atualizar regularmente o seu sistema operativo e todo o software. Muitos problemas de segurança podem ser resolvidos através da instalação de versões atualizadas de software.
• Verifique a reputação dos programadores antes de instalar novas aplicações, consultando análises independentes e pesquisando os seus antecedentes.

Criada em 2008, a Equipa de Análise e Pesquisa Global (GReAT) opera no centro da Kaspersky, descobrindo APTs, campanhas de ciberespionagem, malware importante, ransomware e tendências de cibercriminosos clandestinos em todo o mundo. Atualmente, o GReAT é composto por mais de 35 especialistas que trabalham globalmente: na Europa, Rússia, América Latina, Ásia e Médio Oriente. Os talentosos profissionais de segurança proporcionam a liderança da empresa na investigação e inovação anti-malware, trazendo uma experiência inigualável, paixão e curiosidade para a descoberta e análise de ciberameaças.