مايكروسوفت تحذر من تهديد متسلل لعمال تعدين العملات المشفرة يستهدف مستخدمي أجهزة الكمبيوتر الشخصية المتطورة
اكتشفت Microsoft Threat Intelligence حملة تعدين خفي معقدة تجمع بين استغلال الويب والهندسة الاجتماعية المتطورة للغاية.
تستهدف هذه الحملة عمدًا عشاق الأجهزة ولاعبي الكمبيوتر الشخصي لاختطاف موارد GPU عالية الأداء الخاصة بهم من أجل استخراج العملات المشفرة بشكل غير قانوني.
لاحظ خبراء Microsoft Defender أن الجهات الفاعلة في مجال التهديد تعمل الآن على تسميم نتائج روبوتات الدردشة المدعمة بالذكاء الاصطناعي لخداع المستخدمين المطمئنين وحملهم على تنزيل البرامج الضارة.
سلسلة هجمات الذكاء الاصطناعي وتحسين محركات البحث
تميل حملات Cryptojacking إلى إعطاء الأولوية لحجم الإصابة على حساب الدقة.
ومع ذلك، فقد تم تصميم هذه الحملة المكتشفة حديثًا خصيصًا للحصول على أكبر قدر ممكن من العائد لكل جهاز.
يجذب المهاجمون الأهداف باستخدام تحسين محركات البحث (SEO) بالإضافة إلى الروابط الضارة المضمنة في الاستجابات التي تولدها روبوتات الدردشة ذات النماذج اللغوية الكبيرة (LLM). بطاقة
يتم توجيه المستخدمين الذين يرغبون في تنزيل بعض البرامج الشرعية إلى النطاقات المشابهة.
تتنكر المواقع الضارة في صورة أدوات مساعدة شائعة لمراقبة الأجهزة والنظام.
تتضمن حزم التنزيل التي تم اختراقها CrystalDiskInfo وHWMonitor وFurMark وما إلى ذلك.
التهرب المتقدم
وبعد تنزيل البرنامج المستهدف، يتلقون أرشيفًا مضغوطًا يحتوي على ملف ضار.
يقوم النظام بتشغيل البرامج الضارة بهدوء عبر التحميل الجانبي لـ DLL.
ومن هناك، تقوم البرامج الضارة بنشر ScreenConnect، وهي أداة تجارية مشروعة للإدارة عن بعد. وهذا يجعل من الممكن للجهات الفاعلة الشائنة الوصول المستمر إلى الجهاز.
تنفذ الجهات الفاعلة في مجال التهديد تقنية تُعرف باسم عملية التجويف.
تقوم حمولة .NET مخصصة تسمى بتشغيل أداة مساعدة Windows موثوقة وموقعة من Microsoft وتقوم بإدخال رمز التعدين الخاص بها مباشرةً في مساحة ذاكرة الأداة المساعدة الموثوقة.
يقوم المُحمل بعد ذلك بتنزيل عملاء التعدين الذين يركزون على وحدة معالجة الرسومات مثل gminer.
تراقب البرامج الضارة النظام المضيف باستمرار حتى تظل غير مكتشفة:
يراقب استخدام GPU النشط ووقت خمول المستخدم. يقوم عامل التعدين بإنهاء نشاطه تلقائيًا حتى لا يلاحظ الضحية انخفاضًا مفاجئًا في أداء جهاز الكمبيوتر.
يقوم البرنامج بمعالجة Windows PowerShell بشكل متكرر لإضافة مسارات الاستبعاد إلى إعدادات مكافحة الفيروسات.
أكدت Microsoft أن Microsoft Defender Antivirus وMicrosoft Defender for Endpoint يكتشفان التهديدات المرتبطة بهذه الحملة ويحظرانها.