Копии видеоигры Super Mario стали заражать XMR-майнером

Установочные пакеты видеоигры Super Mario 3: Mario Forever начали заражать скрытыми майнерами для добычи XMR

Злоумышленники стали прятать в установочные пакеты Super Mario 3: Mario Forever вредоносные файлы. Об этом сообщают аналитики IT-фирмы Cyble. По их данным, вирусную копию с упором на Windows распространяют на игровых форумах и социальных площадках.

В установочном архиве содержится три файла: один устанавливает саму игру (super-mario-forever-v702e.exe), а еще два (java.exe и atom.exe) скрытно размещаются в папке AppData жертвы во время установки игры. Как только вредоносные файлы спрятаны в папке жертвы, установщик видеоигры открывает их для запуска майнера криптовалютны monero (XMR) и майнинг-клиента SupremeBot, утверждают аналитики.

В Cyble выяснили, что файл (java.exe) отвечает за сбор информации об оборудовании жертвы и подключается к серверу майнинга по адресу «gulf[.]moneroocean[.]stream». Другой файл, (atom.exe), самокопируется в скрытой папке в каталоге установки игры.

Источник: blog.cyble.com

Далее файл создает запланированную задачу на выполнение копии, которая запускается каждые 15 минут на неопределенный срок, скрываясь от обнаружения в диспетчере задач под одним из системных процессов. Сам файл устанавливает интернет-соединение для передачи информации, регистрации клиента и получения конфигурации майнинга. Более того, SupremeBot скачивает файл Umbral Stealer, который крадет информацию с компьютера жертвы вроде данных о браузере, cookie, токенов аутентификации, паролей и так далее. Также Umbral Stealer может делать несанкционированные скриншоты на компьютере жертвы для кражи конфиденциальной информации.

Риски вредоносной версии Super Mario 3: Mario Forever усиливаются тем, что лицензированная версия бесплатна. Это означает, что оригинал и пиратская копия одинаково доступны по сети.

Источник