StaryDobry-Angriff: Die Bedrohung, die Gaming-Enthusiasten ausnutzt

Ein betrügerisches System, das auf Gamer abzielt

Der StaryDobry-Angriff ist eine groß angelegte Kampagne, die die Popularität von Simulations- und physikbasierten Videospielen ausnutzte, um Systeme mit einem versteckten Kryptowährungs-Miner zu infiltrieren. Diese Operation wurde am 31. Dezember 2024 entdeckt, erstreckte sich über einen Monat und betraf Benutzer in mehreren Ländern, darunter Russland, Brasilien, Deutschland, Weißrussland und Kasachstan.

Die Cyberkriminellen hinter diesem Angriff nutzten die Gunst von Personen aus, die kostenlose Spiele-Downloads suchten, indem sie kompromittierte Installationsdateien auf Torrent-Plattformen verteilten. Die infizierten Dateien tarnten sich als legitime Kopien beliebter Spiele wie BeamNG.drive , Garry's Mod, Dyson Sphere Program , Universe Sandbox und Plutocracy und verleiteten ahnungslose Benutzer dazu, Schadsoftware zu installieren.

Hochleistungssysteme ausnutzen

Das Hauptziel der StaryDobry-Kampagne bestand darin, ein Kryptowährungs-Mining-Programm auf infizierten Windows-Rechnern zu installieren. Der ausgewählte Miner, XMRig , ist weithin bekannt für seine Fähigkeit, Systemressourcen für das Mining von Monero zu nutzen, einer Kryptowährung, die aufgrund ihrer hohen Anonymität bei Cyberkriminellen beliebt ist.

Es war ein strategischer Schachzug, Gaming-Enthusiasten ins Visier zu nehmen, da Gaming-PCs normalerweise über leistungsstarke Prozessoren verfügen, die längere Mining-Operationen durchhalten können. Um die Effizienz zu maximieren, wurde der Miner nur auf Maschinen mit mindestens acht CPU-Kernen aktiviert. Dies gewährleistete optimale Leistung und verhinderte gleichzeitig die Erkennung auf weniger leistungsfähigen Geräten.

Eine mehrschichtige Angriffsstrategie

Der Infektionsprozess begann mit manipulierten Spiele-Installern, die mit Inno Setup erstellt wurden. Diese Installer wurden bereits im September 2024 auf Torrent-Plattformen hochgeladen, was auf eine gut geplante Kampagne hindeutet, die darauf abzielte, ein breites Publikum zu erreichen.

Sobald Benutzer das Installationsprogramm starteten, wurde eine Dropper-Datei namens unrar.dll diskret extrahiert und ausgeführt. Diese Datei verwendete fortschrittliche Techniken, um der Erkennung zu entgehen, und prüfte, ob sie in einer Debugging- oder Sandbox-Umgebung ausgeführt wurde, bevor sie fortfuhr.

Nach Umgehung der Sicherheitsprüfungen rief die Malware die IP-Adresse des Benutzers ab und schätzte seinen geografischen Standort über externe Dienste. Wenn dieser Schritt fehlschlug, wurde der Standort des Systems automatisch auf China oder Weißrussland eingestellt, obwohl die Gründe für diesen Fallback unklar bleiben.

Tiefe Systeminfiltration und Ausweichtechniken

Nach dem Sammeln vorläufiger Informationen wurde der Angriff mit der Entschlüsselung einer weiteren ausführbaren Datei, MTX64.exe , fortgesetzt. Diese Komponente wurde unter dem Namen Windows.Graphics.ThumbnailHandler.dll in das System geschrieben und in die Windows Shell Extension-Funktionalität integriert.

Ab diesem Zeitpunkt wurde eine zusätzliche Ausführungsebene eingeführt. Eine sekundäre Nutzlast namens Kickstarter extrahierte eine verschlüsselte Datei und speicherte sie unter Unix.Directory.IconHandler.dll im Roaming-Anmeldeinformationsordner des Systems. Diese Datei erleichterte die Kommunikation mit einem Remote-Befehlsserver, der die Nutzlast der letzten Stufe lieferte – das Miner-Implantat selbst.

Um die Persistenz zu gewährleisten und eine Erkennung zu vermeiden, überwachte die Malware kontinuierlich die Systemprozesse und beendete sich automatisch, wenn der Task-Manager ( taskmgr.exe ) oder Prozessüberwachungstools ( procmon.exe ) erkannt wurden. Diese Umgehungstechniken verringerten die Wahrscheinlichkeit, dass Sicherheitssoftware den Vorgang kennzeichnete, erheblich.

Ein maßgeschneiderter Bergbaubetrieb

Anstatt sich mit einem öffentlichen Mining-Pool zu verbinden, entschieden sich die Angreifer dafür, ihre eigene Mining-Infrastruktur zu hosten. Dieser Ansatz ermöglichte es ihnen, mehr Kontrolle über den Betrieb zu behalten und die mit der illegalen Mining-Aktivität verbundenen Finanztransaktionen zu verschleiern.

Nach der Aktivierung führte der Miner vordefinierte Befehle aus, um das Mining von Kryptowährungen zu starten, und richtete die Rechenressourcen auf die Generierung von Monero. Um unnötige Gefährdungen zu vermeiden, enthielt er eine integrierte Überwachungsfunktion, die den Betrieb stoppte, wenn Sicherheitsanalysetools erkannt wurden.

Auswirkungen des Angriffs

Die StaryDobry-Kampagne unterstreicht die Risiken, die mit dem Herunterladen von Software aus inoffiziellen Quellen verbunden sind. Während die unmittelbare Konsequenz für die Opfer die unbefugte Nutzung von Computerressourcen war, kann anhaltende Mining-Aktivität die Systemleistung beeinträchtigen, den Energieverbrauch erhöhen und die Lebensdauer der Hardware verkürzen.

Für Unternehmen könnte die Verwendung nicht autorisierter Mining-Software die Produktivität beeinträchtigen, die Stromkosten erhöhen und Netzwerke zusätzlichen Bedrohungen aussetzen, wenn Angreifer beschließen, ihre Aktivitäten über die Mining-Aktivitäten hinaus auszuweiten.

Zuordnung und offene Fragen

Die Identität der Hintermänner des StaryDobry-Angriffs ist weiterhin unbekannt. Obwohl in den Malware-Beispielen Hinweise auf die Verwendung russischer Sprache gefunden wurden, konnte keine eindeutige Verbindung zwischen der Kampagne und bekannten cyberkriminellen Gruppen hergestellt werden.

Dieser Vorfall erinnert uns daran, dass Bedrohungsakteure ihre Methoden ständig verfeinern und Täuschungs- und Ausweichtechniken einsetzen, um Systeme weltweit zu kompromittieren. Die Möglichkeit, Geräte durch scheinbar harmlose Spieledownloads zu infiltrieren, verdeutlicht die sich entwickelnde Landschaft digitaler Bedrohungen und unterstreicht die Bedeutung des Bewusstseins für Cybersicherheit bei Benutzern und Organisationen gleichermaßen.