KryptoCibule: ESET varuje před torrenty, které útočí na české kryptopeněženky

15. 09. 2020

Praha, 15. září 2020 – Výzkumníci bezpečnostní společnosti ESET objevili dosud nezdokumentovanou rodinu trojských koní. Tato rodina malware se zaměřuje na odcizování kryptoměn a dostala název KryptoCibule. Podle údajů ESETu jsou oběťmi převážně čeští a slovenští uživatelé. KryptoCibule se šíří přes škodlivé torrenty, které mají uživatelům pomoci stáhnout nelegální verze programů a her.

Torrent je internetový protokol, který pomáhá při stahování různých souborů. Uživatel, který soubor stahuje, ho zároveň zpřístupňuje ke stažení dalším, kteří mají o soubor zájem. Oběť je tedy nevědomky infikována škodlivým kódem KryptoCibule a zároveň ho přes torrenty dále šíří.

Oběti si stáhly malware z Uloz.to

Většina obětí KryptoCibule pochází z České republiky (47 %) nebo Slovenska (41 %). Téměř všechny škodlivé torrenty se nacházely na české stránce pro sdílení souborů Ulož.to. KryptoCibule například na zařízení oběti ověřuje, zda se na něm nachází některé z řešení lokálních bezpečnostních společností ESET, Avast nebo AVG. Pokud takový program najde, komponenta sloužící k těžbě kryptoměn se do zařízení nenainstaluje.

Název detekce KryptoCibule je odvozen od komunikačního protokolu Tor, což je akronym názvu The Onion Router. Protože je velká část obětí z České republiky a Slovenska, byl použit lokální překlad slova „onion“ (cibule).

Ukázka několika škodlivých souborů, které obsahovaly malware

Tento škodlivý kód představuje v souvislosti s kryptoměnami trojitou hrozbu. Zneužívá zdroje oběti na těžbu kryptoměn ve prospěch útočníka, pokouší se přesměrovat finanční transakce změnou adresy kryptopeněženky během kopírování tohoto textu a také se pokouší krást soubory související s kryptoměnami, hesly a bankami. To vše s využitím různých technik, které škodlivému kódu pomáhají skrývat se před odhalením. KryptoCibule ve své komunikační infrastruktuře využívá síť Tor a také BitTorrent protokol.

„Škodlivý kód zneužívá několik legitimních programů. Jeho instalátor je přibalen například k instalačnímu balíčku Toru a torrentovému klientovi,” vysvětluje Miroslav Dvořák, technický ředitel české pobočky společnosti ESET. KryptoCibule se před odhalením skrývá například i tak, že na infikovaném zařízení netěží kryptoměnu, pokud je stav jeho baterie pod 10 procenty.

Trojský kůň se nadále vyvíjí

ESET identifikoval několik verzí KryptoCibule, díky čemuž mohli jeho výzkumníci prozkoumat evoluci trojského koně zpětně až do prosince 2018. Od tohoto období byly do škodlivého kódu přidávány neustále nové funkcionality a trojský kůň je stále aktivní. Uživatelé se škodlivému kódu KryptoCibule a podobným hrozbám vyhnou díky používání kvalitního bezpečnostního software stejně jako tak, že budou počítačové programy a hry stahovat a nakupovat pouze z oficiálních zdrojů.

Uživatelé produktu ESET jsou před touto hrozbou chráněni. Ostatní si mohou ověřit bezpečí svého osobního počítače prostřednictvím bezplatného nástroje ESET Online Scanner zde.

Detailní technickou analýzu můžete najít v angličtině na našem blogu WeLiveSecurity.com.

O společnosti ESET

Společnost ESET již od roku 1987 vyvíjí bezpečnostní software pro domácí i firemní uživatele. Ten drží rekordní počet ocenění a díky jejím technologiím může více než miliarda uživatelů bezpečně objevovat možnosti internetu. Široké portfolio produktů ESET pokrývá všechny populární platformy včetně mobilních a poskytuje neustálou proaktivní ochranu při minimálních systémových nárocích. ESET se stal první společností, která díky dlouhodobě vysoké úrovni ochrany získala 100 ocenění prestižního magazínu Virus Bulletin VB100. Za těmito úspěchy stojí zejména dlouhodobé investice do vývoje. Jen v České republice nalezneme tři vývojová centra, a to v Praze, Jablonci nad Nisou a Brně. Společnost ESET má lokální zastoupení v Praze, celosvětovou centrálu v Bratislavě a disponuje rozsáhlou sítí partnerů ve více než 200 zemích světa.