Hakerzy infekują aktywatory systemu Windows, takie jak KMSPico, aby kraść z portfeli kryptowalut

Dlaczego to ma znaczenie: piractwo komputerowe nie jest niczym nowym, ale wraz z rozprzestrzenianiem się „aktywatorów" dla systemu Windows i pakietu Office pojawiają się także złośliwi aktorzy, którzy próbują wykorzystać niczego niepodejrzewających użytkowników korzystających z takich narzędzi. Ich ofiary robią to, wierząc, że oszczędzają na kosztach licencji na oprogramowanie, ale jednocześnie narażają swoje systemy na wyrafinowane złośliwe oprogramowanie, które unika wykrycia przez komercyjne rozwiązania antywirusowe i może kraść poufne informacje.

Jeśli kupujesz lub budujesz nowy komputer, prawdopodobnie będziesz musiał kupić dla niego licencję na system Windows. Wiele osób nie jest skłonnych rozstać się z więcej niż 100 USD, aby je zdobyć, więc często uciekają się do kupowania tanich kluczy z szarych stron internetowych lub korzystania z jednego z kilku „aktywatorów” dostępnych online. Ta ostatnia opcja jest zawsze ryzykownym posunięciem, ale historycznie nie wyrządziła większych szkód większości użytkowników, którzy wybrali tę trasę.

Według badaczy bezpieczeństwa z Red Canary złośliwi aktorzy zmodyfikowali ostatnio jedno z tych narzędzi w celu dystrybucji złośliwego oprogramowania, które może kraść tokeny z portfeli kryptowalut. Narzędziem, o którym mowa, jest KMSPico, które może lokalnie emulować serwer Key Management Services (KMS) w celu aktywacji licencji na produkty Windows i Office.

Jeden ze złośliwych instalatorów KMSPico przeanalizowanych przez badaczy zawiera złośliwe oprogramowanie Cryptbot, które może kraść dane uwierzytelniające i inne poufne informacje z przeglądarek internetowych zainstalowanych na komputerze. Wpływa również na różne portfele kryptowalut, takie jak Ledger Live, Atomic, Electrum, Exodus, Coinomi i inne. Co ważniejsze, można go używać do usuwania złośliwego oprogramowania bankowego, takiego jak Danabot, lub dowolnego innego złośliwego ładunku.

Warto również zauważyć, że złośliwe oprogramowanie Cryptbot jest trudne do wykrycia, ponieważ jego twórcy stosują różne metody unikania wykrycia przez tradycyjne rozwiązania antywirusowe, w tym zaszyfrowane pliki binarne. Tak czy inaczej, dowodzi to, że podążanie ścieżką piractwa w przypadku systemu Windows i pakietu Office nie jest tego warte, jeśli weźmie się pod uwagę związane z tym ryzyko. Jeśli już, zakup komputera z preinstalowanym systemem Windows, gdy jest on w sprzedaży, może być najlepszym sposobem na zaoszczędzenie pieniędzy na licencji.

Analityk wywiadu Red Canary, Tony Lambert, mówi, że z tego narzędzia korzystają nie tylko zwykli użytkownicy domowi. Wiele małych firm próbuje zaoszczędzić na kosztach licencji, używając pirackich kopii systemu Windows i pakietu Office aktywowanych za pomocą KMSPico, co wprowadza wiele zagrożeń bezpieczeństwa dla ich infrastruktury IT. Lambert zauważa, że ​​firma „doświadczyła nawet jednej niefortunnej reakcji na incydent, w której nasz partner IR nie mógł naprawić jednego środowiska, ponieważ organizacja nie posiadała ani jednej ważnej licencji Windows w tym środowisku”.

Kredyt w mastheadzie: Arget |przez Unsplash