Вредоносный майнер криптовалюты Monero

По сообщению компании ESET, ее специалисты выявили новую мошенническую кампанию – заражение Web-серверов вредоносным майнером криптовалюты Monero (XMR). Операция продолжается как минимум с мая 2017 г.

Злоумышленники, стоящие за данной кампанией, незначительно изменили легитимную программу xmrig для добычи Monero, добавив в код адрес своего кошелька и майнинговый пул URL. Антивирусные продукты ESET зафиксировали появление вредоносного майнера 26 мая, в день выпуска базовой версии xmrig.

Для скрытой установки вредоносного майнера на Web-серверы атакующие используют CVE-2017-7269 – уязвимость службы WebDAV в ОС Windows Server 2003 R2. Вероятнее всего, сканирование на предмет уязвимости выполняется с машины, которая размещена на арендованном облачном сервере Amazon.

Выбор Monero для добычи с помощью вредоносного ПО обусловлен рядом преимуществ этой криптовалюты. Так, в отличие от биткоина, майнинг XMR не требует специального оборудования. Кроме того, Monero обеспечивает анонимность сделок – транзакции отследить невозможно.

Число зараженных Web-серверов можно оценить по общему хешрейту – совокупной вычислительной мощности машин, которые используют атакующие. По оценке ESET, за три месяца мошенники включили в свой ботнет несколько сотен зараженных Web-серверов и заработали больше 63 тыс. долл.

ESET детектирует вредоносный майнер как троян Win32/CoinMiner.AMW, попытки эксплуатации уязвимости на сетевом уровне как webDAV/ExplodingCan. Пользователям Windows Server 2003 рекомендуется установить KB3197835 и другие обновления безопасности (если автоматическое обновление системы не работает, патчи необходимо загрузить вручную).

Пользователи антивирусных продуктов ESET защищены от любых попыток использования уязвимости CVE-2017-7269, даже если на их машинах пока не установлено обновление.