StaryDobry Attack: A játékrajongókat kizsákmányoló fenyegetés

Megtévesztő rendszer, amely játékosokat céloz meg

A StaryDobry támadás egy nagyszabású kampány, amely a szimulációs és a fizika alapú videojátékok népszerűségét kihasználva rejtett kriptovaluta bányászattal beszivárgott a rendszerekbe. Ezt a műveletet 2024. december 31-én észlelték, és egy hónapon át tartott, és számos országban érintette a felhasználókat, köztük Oroszországban, Brazíliában, Németországban, Fehéroroszországban és Kazahsztánban.

A támadás mögött álló kiberbűnözők kihasználták az ingyenes játékletöltést kereső egyéneket azzal, hogy feltört telepítőfájlokat terjesztettek torrentplatformokon. A fertőzött fájlok olyan népszerű játékok legitim másolatának álcázták magukat, mint a BeamNG.drive , a Garry's Mod , a Dyson Sphere Program , a Universe Sandbox és a Plutocracy , ami rosszindulatú szoftverek telepítésére csábította a gyanútlan felhasználókat.

Nagy teljesítményű rendszerek kihasználása

A StaryDobry kampány elsődleges célja egy kriptovaluta bányászati program telepítése volt a fertőzött Windows gépeken. A kiválasztott bányász, az XMRig széles körben ismert arról, hogy képes a rendszererőforrásokat a Monero bányászathoz hasznosítani, ez a kriptovaluta, amelyet a kiberbűnözők kedvelnek az anonimitásra helyezett hangsúly miatt.

A játékrajongók megcélzása stratégiai lépés volt, mivel a játék PC-k jellemzően erős processzorokkal rendelkeznek, amelyek képesek eltartani a hosszan tartó bányászati műveleteket. A hatékonyság maximalizálása érdekében a bányász csak a legalább nyolc CPU maggal rendelkező gépeken aktiválódott, így optimális teljesítményt biztosít, miközben elkerüli az észlelést a kevésbé képes eszközökön.

Többrétegű támadási stratégia

A fertőzési folyamat manipulált játéktelepítőkkel kezdődött, amelyeket az Inno Setup segítségével készítettek. Ezeket a telepítőket már 2024 szeptemberében feltöltötték torrent-platformokra, ami egy jól megtervezett, széles közönség elérését célzó kampányt sugall.

Miután a felhasználók elindították a telepítőt, az unrar.dll nevű dropper fájl diszkréten kicsomagolásra és végrehajtásra került. Ez a fájl fejlett technikákat alkalmazott az észlelés elkerülésére, és a folytatás előtt ellenőrizte, hogy hibakereső vagy homokozó környezetben működik-e.

A biztonsági ellenőrzések megkerülésével a kártevő lekérte a felhasználó IP-címét, és külső szolgáltatásokon keresztül megbecsülte a földrajzi elhelyezkedésüket. Ha ez a lépés sikertelen volt, a rendszer automatikusan Kínára vagy Fehéroroszországra lett állítva, bár a visszaesés mögött meghúzódó indokok továbbra is tisztázatlanok.

Mély rendszerbe való beszivárgás és kijátszási technikák

Az előzetes információk összegyűjtése után a támadás egy másik végrehajtható fájl, az MTX64.exe visszafejtésével folytatódott. Ezt az összetevőt Windows.Graphics.ThumbnailHandler.dll néven írták a rendszerbe, és integrálták a Windows Shell Extension funkcióval.

Ettől kezdve egy további végrehajtási réteget vezettek be. A Kickstarter nevű másodlagos rakomány kicsomagolt egy titkosított fájlt, és elmentette azt a Unix.Directory.IconHandler.dll fájlba a rendszer roaming hitelesítő adatainak mappájába. Ez a fájl megkönnyítette a kommunikációt egy távoli parancskiszolgálóval, amely szállította az utolsó szakaszban a hasznos terhet – magát a bányászimplantátumot.

Az állandóság biztosítása és az észlelés elkerülése érdekében a kártevő folyamatosan figyelte a rendszerfolyamatokat, és automatikusan leállítja magát, ha a feladatkezelőt ( taskmgr.exe ) vagy a folyamatfigyelő eszközöket ( procmon.exe ) észlelte. Ezek a kijátszási technikák jelentősen csökkentették annak valószínűségét, hogy a biztonsági szoftver megjelölje a műveletet.

Egyedi bányászati művelet

Ahelyett, hogy egy nyilvános bányászati medencéhez csatlakoztak volna, a támadók saját bányászati infrastruktúrájukat választották. Ez a megközelítés lehetővé tette számukra, hogy nagyobb ellenőrzést tartsanak fenn a működés felett, és homályossá tegyék az illegális bányászati tevékenységhez kapcsolódó pénzügyi tranzakciókat.

Az aktiválás után a bányász előre meghatározott parancsokat hajtott végre a kriptovaluta bányászatának elindításához, és a számítási erőforrásokat a Monero generáció felé irányította. A szükségtelen expozíció elkerülése érdekében beépített megfigyelő funkciót tartalmazott, amely leállította a műveleteket, ha biztonsági elemző eszközöket észlelt.

A támadás következményei

A StaryDobry kampány rámutat a szoftverek nem hivatalos forrásból történő letöltésével kapcsolatos kockázatokra. Míg az áldozatok közvetlen következménye a számítási erőforrások jogosulatlan használata volt, a hosszan tartó bányászati tevékenység ronthatja a rendszer teljesítményét, növelheti az energiafogyasztást és lerövidítheti a hardver élettartamát.

A vállalkozások számára a jogosulatlan bányászati szoftverek megzavarhatják a termelékenységet, megemelhetik az áramköltségeket, és további fenyegetéseknek tehetik ki a hálózatokat, ha a támadók úgy döntenek, hogy a bányászati tevékenységen túlmenően kiterjesztik tevékenységüket.

Forrásmegjelölés és nyitott kérdések

A StaryDobry támadás mögött álló személyek kiléte továbbra is ismeretlen. Bár a rosszindulatú programok mintáiban orosz nyelvhasználatra utaló bizonyítékokat találtak, a kampányt ismert kiberbűnözői csoportokkal összekötő végleges kapcsolatot nem sikerült megállapítani.

Ez az incidens arra emlékeztet bennünket, hogy a fenyegetés szereplői továbbra is finomítják módszereiket, megtévesztési és kijátszási technikákat alkalmazva a rendszerek kompromittálására világszerte. Az a képesség, hogy látszólag ártalmatlan játékletöltéseken keresztül behatolhat az eszközökbe, rávilágít a digitális fenyegetések változó környezetére, megerősítve a kiberbiztonsági tudatosság fontosságát a felhasználók és a szervezetek körében egyaránt.