In einem klassischen Fall von „Dumme Spiele spielen und dumme Preise gewinnen“ wurde festgestellt, dass Raubkopien von Windows 10 verteilt wurden, die Malware enthielten, die in der EFI-Partition versteckt war.
Raubkopien von Windows, die Malware enthielten
Wie berichtet von Bleepingcomputer.com haben Hacker Windows 10 mithilfe von Torrents verbreitet, in denen Kryptowährungs-Hijacker versteckt waren. Die Malware wurde in der Extensible Firmware Interface-Partition (EFI) versteckt, einer Partition, die den Bootloader und zugehörige Dateien vor dem Start des Betriebssystems enthält und wiederum vor den meisten Antivirenprogrammen verborgen ist. Die Malware wurde von Forschern bei drweb.com entdeckt und erklärt, die sie gefunden haben wird nicht über das EFI ausgeführt, sondern nutzt stattdessen die Partition als versteckten Ort zum Speichern der infizierten Dateien.
Wie funktioniert es?
Die Malware besteht aus drei Phasen, beginnend mit Trojan.MulDrop22.7578, das über den System-Taskplaner gestartet wird und das Ziel hat, eine EFI-Systempartition bereitzustellen das Laufwerk M:\ und kopieren Sie zwei weitere schädliche Komponenten darauf. Danach löscht es den ursprünglichen Trojaner vom Laufwerk C:\, startet die nächste Stufe unter trojan.inject4.57873 und hebt die Bereitstellung der EFI-Partition auf. TrojanInject4.57873 verwendet dann die Process Hollowing-Technik, um Trojan.Clipper.231 in den Systemprozess Lsaiso.exe einzuschleusen und die Kontrolle zu übernehmen. Die Malware überwacht dann die Zwischenablage und ersetzt die darin kopierten Krypto-Wallet-Adressen durch vom Angreifer bereitgestellte Adressen.
Die Forscher sagen, dass die Verwendung der EFI-Partition als Methode zur Malware-Infiltration ein sehr seltener Angriffsvektor ist und von großer Bedeutung ist großes Interesse für Sicherheitsexperten. Die Forscher haben auch geschätzt, dass es Trojan.Clipper.231 bisher gelungen ist, 0,73406362 BTC und 0,07964773 ETH zu stehlen, was etwa 18.976,29 US-Dollar entspricht, eine ziemlich hohe Summe an Bargeld.
Ich weiß, dass Windows teuer ist, aber zumindest mit einem zuverlässige Quelle, Sie werden von so etwas nicht getroffen.
