Malware KryptoCibule se zaměřuje na těžbu a odcizení kryptoměn
Výzkumníci bezpečnostní společnosti ESET objevili dosud nezdokumentovanou rodinu trojských koní, která se zaměřuje na odcizování kryptoměn a dostala název KryptoCibule. Podle údajů jsou oběťmi převážně čeští a slovenští uživatelé. Vir se šíří přes škodlivé torrenty.
Většina obětí KryptoCibule pochází z České republiky (47 %) nebo Slovenska (41 %). Téměř všechny škodlivé torrenty se nacházely na české stránce pro sdílení souborů Ulož.to. KryptoCibule například na zařízení oběti ověřuje, zda se na něm nachází některé z řešení lokálních bezpečnostních společností ESET, Avast nebo AVG. Pokud takový program najde, komponenta sloužící k těžbě kryptoměn se do zařízení nenainstaluje.
Název detekce KryptoCibule je odvozen od komunikačního protokolu Tor, což je akronym názvu The Onion Router. Protože je velká část obětí z České republiky a Slovenska, byl použit lokální překlad slova „onion“ (cibule).
Tento škodlivý kód představuje v souvislosti s kryptoměnami trojitou hrozbu. Zneužívá zdroje oběti na těžbu kryptoměn ve prospěch útočníka, pokouší se přesměrovat finanční transakce změnou adresy kryptopeněženky během kopírování tohoto textu a také se pokouší krást soubory související s kryptoměnami, hesly a bankami. To vše s využitím různých technik, které škodlivému kódu pomáhají skrývat se před odhalením. KryptoCibule ve své komunikační infrastruktuře využívá síť Tor a také BitTorrent protokol.
„Škodlivý kód zneužívá několik legitimních programů. Jeho instalátor je přibalen například k instalačnímu balíčku Toru a torrentovému klientovi,” vysvětluje Miroslav Dvořák, technický ředitel české pobočky společnosti ESET. KryptoCibule se před odhalením skrývá například i tak, že na infikovaném zařízení netěží kryptoměnu, pokud je stav jeho baterie pod 10 procenty.
ESET identifikoval několik verzí KryptoCibule, díky čemuž mohli jeho výzkumníci prozkoumat evoluci trojského koně zpětně až do prosince 2018. Od tohoto období byly do škodlivého kódu přidávány neustále nové funkcionality a trojský kůň je stále aktivní.
Uživatelé se škodlivému kódu KryptoCibule a podobným hrozbám vyhnou díky používání kvalitního bezpečnostního software stejně jako tak, že budou počítačové programy a hry stahovat a nakupovat pouze z oficiálních zdrojů.
