De GhostEngine-malware probeert uw computer te gebruiken voor cryptomining

GhostEngine Malware is een geavanceerde inbraakset die verschillende kwaadaardige modules integreert, waarbij gebruik wordt gemaakt van kwetsbare stuurprogramma's om beveiligingsoplossingen uit te schakelen en cryptomining te vergemakkelijken. Deze malware, REF4578 genoemd, gebruikt GHOSTENGINE als primaire lading. Onderzoekers hebben ook delen van deze inbraakset geïdentificeerd onder de naam HIDDENSHOVEL.

Belangrijkste kenmerken en tactieken

Mechanismen voor onvoorziene omstandigheden en duplicatie

De auteurs van GhostEngine Malware hebben talloze mechanismen voor onvoorziene gebeurtenissen en duplicatie ingebouwd om veerkracht en doorzettingsvermogen te garanderen. Deze mechanismen helpen de functionaliteit van de malware te behouden, zelfs als delen van de werking worden verstoord.

Beveiligingsoplossingen uitschakelen

GHOSTENGINE maakt gebruik van kwetsbare stuurprogramma's om bekende Endpoint Detection and Response (EDR)-agents te beëindigen en te verwijderen. Deze stap is cruciaal om de inzet van de muntmijnwerker mogelijk te maken zonder tussenkomst van beveiligingssoftware.

Deze malwarecampagne vertoont een ongewoon niveau van complexiteit om de installatie en persistentie van de XMRIG-mijnwerker te garanderen. Het begint met de uitvoering van een PE-bestand met de naam Tiworker.exe, dat zich voordoet als het legitieme Windows TiWorker.exe. Deze actie veroorzaakt een reeks kwaadaardige activiteiten.

Infectie- en uitvoeringsproces

Bij uitvoering downloadt en voert het bestand Tiworker.exe een PowerShell-script uit dat de gehele inbraakstroom orkestreert. Dit binaire bestand voert een hardgecodeerde PowerShell-opdracht uit om een versluierd script, get.png, op te halen, dat extra tools, modules en configuraties downloadt van de C2-server (Command and Control) van de aanvaller.

GHOSTENGINE is verantwoordelijk voor het ophalen en uitvoeren van modules op de geïnfecteerde machine. Het gebruikt voornamelijk HTTP om bestanden te downloaden van een geconfigureerd domein, met een back-up-IP als domeinen niet beschikbaar zijn. FTP fungeert als secundair protocol en maakt gebruik van ingebedde inloggegevens voor extra redundantie.

Systeemopruiming en persistentie

Het script downloadt clearn.png en voert het uit, een component die is ontworpen om overblijfselen van eerdere infecties te verwijderen. Het ruimt kwaadaardige bestanden op die zich bevinden in mappen zoals C:\Program Files\Common Files\System\ado en C:\PROGRA 1\GEMEENSCHAPPELIJK 1\Systeem\ado. Bovendien verwijdert het geplande taken met de naam:

• Microsoft Assistent-taak
• Systeem Helpcentrum taak
• SystemFlushDns
• SystemFlashDnsSrv

Artefacten van deze geplande taken kunnen wijzen op eerdere infecties.

Belang van het verwijderen van GhostEngine-malware

Het verwijderen van GhostEngine Malware is van cruciaal belang om te voorkomen dat uw systeem wordt misbruikt voor cryptomining. Zonder toestemming cryptomining kan uw computer aanzienlijk vertragen en tot een hoger energieverbruik en hogere kosten leiden.

Uw informatie beschermen

Door ervoor te zorgen dat deze malware wordt verwijderd, wordt de informatie op uw systeem beschermd tegen uitwisseling met kwaadwillende actoren, waardoor uw persoonlijke en professionele gegevens worden beschermd.