Nitrokod:加密货币恶意软件分析
2022-9-1 11:22:0 Author: www.4hou.com(查看原文) 阅读量:11 收藏

Nitrokod加密货币挖矿恶意软件伪装成谷歌翻译桌面版和其他合法应用。

Check Point研究人员检测到一个基于土耳其的加密货币挖矿恶意软件攻击活动——Nitrokod,受害者分布在11个不同的国家。该攻击活动的核心是使用有用的工具。在谷歌搜索中搜“谷歌翻译桌面版下载”就可以看到恶意软件下载链接。而实际上应用已经被木马化了,此外还加入了延迟机制,攻击活动的最后是加密货币挖矿。

图1 谷歌搜索结果

Nitrokod

Nitrokod是一个土耳其语软件开发者,自称提供安全免费的软件。大多数Nitrokod提供的软件都没有官方桌面版。比如,Nitrokod提供的谷歌翻译桌面版应用。因为谷歌没有发布官方桌面版软件,因此攻击者的版本就非常受欢迎。

图2 Nitrokod[.]com

大多数应用都来自官方web页面。比如,谷歌翻译桌面版应用就是从谷歌翻译web页(https://translate.google.com)转化而来的。因此,攻击者无法开发功能就可以进行广泛传播。

为避免被检测到,Nitrokod开发者还将恶意活动进行了分离:

· 恶意软件在Nitrokod程序安装一个月后才首次执行;

· 恶意软件会经过6个前期阶段;

· 感染链会使用定时任务机制继续延迟,使得攻击者有时间清理痕迹。

感染链

图3 感染链

大多数Nitrokod攻击活动感染链都非常类似,首先是从web下载受感染的程序,然后安装。

用户启动新软件后,真实的谷歌翻译应用就会安装。此外,会释放一个更新文件来开启4个释放器,直到真实的恶意软件释放。

恶意软件执行后,恶意软件就会连接到C2服务器来获取XMRig加密货币挖矿的配置,并开启挖矿活动。

阶段1 – Web安装器

攻击活动的初始阶段是下载Nitrokod程序。以谷歌翻译桌面版为例:

图4 下载量上万

GoogleTranslateDesktop.exe 是一个基于Inno的Windows安装器。安装器首先会从hxxp://nitrokod[.]com/download/GoogleTranslateDesktop.rar 下载加密的RAR文件。为了应对随机扫描和下载,该文件只有当user-agent 设置为“InnoDownloadPlugin/1.5”时才可以下载。然后使用asx作为密码从RAR文件中提取出GoogleTranslateDesktop2.50.exe。

阶段2 – Installer

GoogleTranslateDesktop2.50.exe安装器会在“C:\Program Files (x86)\Nitrokod\Google Translate Desktop\GoogleTranslateDesktop.exe”路径安装谷歌翻译。安装后,安装器会检查update.exe文件是否在“C:\ProgramData\Nitrokod”目录。如果该文件不存在或文件版本不是1.0.7.0,就会释放第三节点释放器update.exe。为实现驻留,设置了定时任务在每次系统启动时开始更新。

最后,安装器会通过POST INSTALL消息向Nitrokod发送受感染机器的信息。所有信息都将以HTTP GET请求的参数来发送:

图5  Post install消息

阶段3 – Delayed Dropper

第3阶段释放器(update.exe)在安装时间后至少5天才会运行。具体是通过以下两个注册表来实现的:

  · “HKLU\Software\Update\D” –保存上次运行时间

 · “HKLU\Software\Update\S” –作为计时器

每次updater执行都会检查执行数据是否党羽当前日期。如果不是,计数器就加1。计数器等于4时,就从另一个加密的RAR文件中提取第4阶段释放器chainlink1.07.exe。事实上,该操作需要4个不同天的4次系统重启。这也是绕过沙箱检测的一种好方法。

阶段4 –定时任务和日志清楚

第4阶段释放器负责创建4个不同的定时任务:

image.png

阶段5 – 虚拟机测试

阶段5 释放器会检查系统中是否安装了特定程序。首先检查一些知名的虚拟机进程和安全产品进程。如果检查到就退出。

图 6 ISINSTALL函数

然后添加防火墙规则以运行下一阶段释放的软件的网络连接——nniawsoykfo.exe。

图7 添加的防火墙规则

然后会排除Windows Defender在以下路径的活动:

· Temp folder

· C:\system32\nniawsoykfo.exe

· C:\system32\powermanager.exe

最后,程序从加密的RAR文件中释放阶段6释放器——nniawsoykfo1.8.exe,并执行。

阶段6 – 加密货币挖矿释放器

阶段6释放器负责释放3个文件:

· exe – 控制矿工的恶意软件

· exe – XMRig加密货币矿工

· sys –XMRig的一部分

为实现驻留,设置了定时任务每天启动恶意软件——powermanager.exe。

阶段7 – 加密货币挖矿恶意软件powermanager.exe

定时任务的第二天,恶意软件就会执行。恶意软件会枚举受感染机器上安装的所有安全产品。然后确定受感染机器是桌面版还是笔记本。

然后,会连接到C2服务器nvidiacenter[.]com,并通过HTTP POST请求发送以下数据:

· 受感染系统时间;

· 受感染机器上安装的安全产品列表;

· 上次启动时间;

· 恶意软件版本号;

· XMRig版本号;

· 处理器核数;

C2服务器会响应控制恶意软件和XMRig矿工的指令,如下所示:

image.png

本文翻译自:https://research.checkpoint.com/2022/check-point-research-detects-crypto-miner-malware-disguised-as-google-translate-desktop-and-other-legitimate-applications/如若转载,请注明原文地址


文章来源: https://www.4hou.com/posts/WBKJ
如有侵权请联系:admin#unsafe.sh