Les utilisateurs qui sont \u00e0 la recherche de jeux populaires ont \u00e9t\u00e9 attir\u00e9s par le t\u00e9l\u00e9chargement des installateurs trojanis\u00e9s qui ont conduit au d\u00e9ploiement d’un mineur de crypto-monnaie sur des h\u00f4tes Windows compromis.<\/p>\n
L’activit\u00e9 \u00e0 grande \u00e9chelle a \u00e9t\u00e9 nomm\u00e9e Starydobry<\/strong> par la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 Kaspersky, qui l’a d\u00e9tect\u00e9e pour la premi\u00e8re fois le 31 d\u00e9cembre 2024. Elle a dur\u00e9 un mois.<\/p>\n Les cibles de la campagne comprennent des individus et des entreprises du monde entier, la t\u00e9l\u00e9m\u00e9trie de Kaspersky trouvant des concentrations d’infection plus \u00e9lev\u00e9es en Russie, au Br\u00e9sil, en Allemagne, au B\u00e9larus et au Kazakhstan.<\/p>\n “Cette approche a aid\u00e9 les acteurs \u00e0 la menace \u00e0 tirer le meilleur parti de l’implant mineur en ciblant de puissantes machines de jeu capables de maintenir une activit\u00e9 mini\u00e8re”, les chercheurs Tatyana Shishkova et Kirill Korchemny dit<\/a> Dans une analyse publi\u00e9e mardi.<\/p>\n La campagne de minerage de crypto-monnaie XMRIG utilise des jeux de simulation et de physique populaires comme Beamng.Drive, Garry’s Mod, Dyson Sphere Program, Universe Sandbox et Plutocratie comme des leurres pour initier une cha\u00eene d’attaque sophistiqu\u00e9e.<\/p>\n Cela implique le t\u00e9l\u00e9chargement des installateurs de jeux empoisonn\u00e9s fabriqu\u00e9s en utilisant Configuration inno<\/a> Sur divers sites torrent en septembre 2024, indiquant que les acteurs de menace non identifi\u00e9s derri\u00e8re la campagne avaient soigneusement planifi\u00e9 les attaques.<\/p>\n Les utilisateurs qui finissent par t\u00e9l\u00e9charger ces versions, \u00e9galement appel\u00e9s “Repacks” sont desservis un \u00e9cran d’installation qui les exhorte \u00e0 proc\u00e9der au processus de configuration, au cours duquel un compte-gouttes (“unrar.dll”) est extrait et ex\u00e9cut\u00e9.<\/p>\n Le fichier DLL continue son ex\u00e9cution uniquement apr\u00e8s avoir ex\u00e9cut\u00e9 une s\u00e9rie de v\u00e9rifications pour d\u00e9terminer si elle s’ex\u00e9cute dans un environnement de d\u00e9bogage ou de sable, une d\u00e9monstration de son comportement tr\u00e8s \u00e9vasif.<\/p>\n Par la suite, il interroge divers sites comme API.Myip [.]com, ip-api [.]com, et ipwho [.]est d’obtenir l’adresse IP de l’utilisateur et d’estimer son emplacement. S’il \u00e9choue \u00e0 cette \u00e9tape, le pays est par d\u00e9faut en Chine ou en Bi\u00e9lorussie pour des raisons qui ne sont pas totalement claires.<\/p>\n La phase suivante implique de rassembler une empreinte digitale de la machine, de d\u00e9crypter un autre ex\u00e9cutable (“mtx64.exe”), et d’\u00e9crire son contenu dans un fichier sur disque nomm\u00e9 “windows.graphics.thumbnailhandler.dll” dans le% systemroot% ou% systemroot. % Sysnative dossier.<\/p>\n Bas\u00e9 sur un projet d’oer-source l\u00e9gitime appel\u00e9 EPubshelextThumbnailHandler<\/a>MTX64 Modifie la fonctionnalit\u00e9 de gestion des miniatures d’extension de Shell Windows pour son propre gain en chargeant une charge utile \u00e0 la prochaine \u00e9tape, un ex\u00e9cutable portable nomm\u00e9 Kickstarter qui d\u00e9balle ensuite un blob crypt\u00e9 incorpor\u00e9.<\/p>\n Le blob, comme \u00e0 l’\u00e9tape pr\u00e9c\u00e9dente, est \u00e9crit sur le disque sous le nom “Unix.Directory.IconHandler.dll” dans le dossier% AppData Roaming Microsoft Credentials % InstallDate% .<\/p>\n La DLL nouvellement cr\u00e9\u00e9e est configur\u00e9e pour r\u00e9cup\u00e9rer le binaire final \u00e0 partir d’un serveur distant responsable de l’ex\u00e9cution de l’implant de mineur, tout en v\u00e9rifiant en continu TaskMgr.exe et Procmon.exe dans la liste des processus en cours d’ex\u00e9cution. L’artefact est rapidement termin\u00e9 si l’un des processus est d\u00e9tect\u00e9.<\/p>\n Le mineur est une version l\u00e9g\u00e8rement modifi\u00e9e de XMRIG qui utilise une ligne de commande pr\u00e9d\u00e9finie pour initier le processus d’extraction sur les machines avec des processeurs qui ont 8 c\u0153urs ou plus.<\/p>\n “S’il y en a moins de 8, le mineur ne commence pas”, ont d\u00e9clar\u00e9 les chercheurs. “De plus, l’attaquant a choisi d’h\u00e9berger un serveur de pool minier dans sa propre infrastructure au lieu d’utiliser un public.”<\/p>\n “XMRIG analyse la ligne de commande construite en utilisant sa fonctionnalit\u00e9 int\u00e9gr\u00e9e. Le mineur cr\u00e9e \u00e9galement un thread s\u00e9par\u00e9 pour v\u00e9rifier les moniteurs de processus en cours d’ex\u00e9cution dans le syst\u00e8me, en utilisant la m\u00eame m\u00e9thode que dans l’\u00e9tape pr\u00e9c\u00e9dente.”<\/p>\n Starydobry reste non attribu\u00e9 compte tenu du manque d’indicateurs qui pourraient le lier \u00e0 tous les acteurs connus de Crimeware. Cela dit, la pr\u00e9sence de cordes linguistiques russes dans les \u00e9chantillons fait allusion \u00e0 la possibilit\u00e9 d’un acteur de menace russe.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Les-installateurs-de-jeux-transmissibles-deploient-un-mineur-de-crypto-monnaie.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n