La firma de ciberseguridad Varonis está trabajando en el último intento de piratas informáticos de cifrar recursos informáticos para extraer la moneda centrada en la privacidad Monero. En un informe publicado el miércoles 14 de agosto, la compañía reveló que el virus «Norman» estaba diseñado para minar Monero y evadió la detección. El virus se detectó durante una investigación completa en una empresa mediana que condujo al descubrimiento de otros tipos de malware dentro del sistema informático de la empresa. Según lo descrito por Varonis, Norman es «un minero criptográfico basado en XMRig, un minero de alto rendimiento para la criptomoneda Monero».
Según el informe, parece que el virus pudo haber infectado las computadoras de la compañía hace más de un año y desde entonces, el virus ha actuado como una puerta de enlace para descargar más malware a los sistemas.
Los malware Cryptojacking son virus informáticos que los piratas utilizan para obtener los recursos de un sistema y contribuir al grupo de hashing de los piratas informáticos. Por lo general, funciona sin el conocimiento del usuario de la computadora y conduce a acaparar recursos si no está bien ofuscado. La única forma de descubrir la presencia de un cripto minero es ejecutar el administrador de tareas y ver los procesos en ejecución. Sin embargo, es esto lo que Norman fue diseñado para evadir: la detección a través del administrador de tareas.
Según el informe:
Una vez que se ejecuta, el malware está diseñado para evitar la detección al terminar el minero cuando un usuario abre el Administrador de tareas … Después de que el Administrador de tareas se cierra, el malware ejecutará el [malware] y reinyectará el minero.
Es un diseño bastante ingenioso que ha permitido que el malware se ejecute sin ser detectado durante tanto tiempo.
El informe también detalla que el malware se desarrolla en el lenguaje de script PHP y se oculta con Zend Guard. Mientras analizaba los archivos fuente, Varonis descubrió algunos archivos y elementos de código escritos en el idioma francés que los llevaron a concluir que el autor del virus es de un país de habla francesa o con sede en Francia.
El malware puede haberse originado en Francia u otro país de habla francesa: el archivo SFX tenía comentarios en francés, que indican que el autor utilizó una versión francesa de WinRAR para crear el archivo.
La amenaza de criptomonedas se está volviendo cada vez más popular a medida que la criptomoneda se vuelve más común. Además, las amenazas específicamente diseñadas para extraer Monero tienen más prevalencia que otras criptomonedas debido a la naturaleza centrada en la privacidad de la criptomoneda. En el futuro, la tendencia no parece disminuir y la empresa de seguridad informa que los profesionales de seguridad deben seguir la tendencia para proteger mejor sus sistemas.
