Модульное вредоносное ПО для интернет-кафе совмещает майнинг и кражу игровых аккаунтов

После запуска программа проверяет, работает ли она уже в виде копии. Затем определяет, какое программное обеспечение управляет клубным компьютером, и собирает сведения о машине: номер заведения, адрес сетевого адаптера, версию клиентской оболочки. Эти данные уходят на удалённый сервер вместе с запросом на задание. Среди распознаваемых объектов - клиенты управления клубными компьютерами и их конфигурационные файлы. Приходит ответ с задачей - программа её выполняет.

По данным Huorong Security, у набора две независимые схемы заработка. Первая связана с добычей криптовалюты, вторая - с кражей учётных данных игроков. Модули подключаются по отдельности, и отказ одного направления не мешает другому. Управление в обоих случаях идёт с одного сервера, рядом с которым размещена служебная панель для учёта заражённых машин.

Майнинговая ветка работает так. Программа скачивает свободно распространяемый майнер, а запускает его через встроенный загрузчик. Тот создаёт безобидный системный процесс в приостановленном состоянии. Затем содержимое процесса подменяется кодом майнера - приём называется подменой процесса. Через несколько секунд загрузчик переписывает командную строку и убирает из неё параметры пула и криптокошелька. В стандартном списке задач остаётся только имя обычной системной программы. Стоит посетителю запустить игру, майнер приостанавливается. Нагрузка на процессор и видеокарту падает, помехи в игре не ощущаются.

Вторая ветка нацелена на игровые аккаунты. Модуль маскируется под системную библиотеку Windows и читает память процессов WeGame и TGP. Оттуда извлекаются идентификаторы сессии, билеты доступа и служебные поля. Потом программа заново собирает данные сессии и отправляет их на сервер вместе со сведениями о машине. Поиск нужных участков памяти идёт по шаблонам с пропусками, поэтому обновления игрового клиента не мешают сбору. Не получилось с первой попытки - следует вторая.

Если прочитать память обычными средствами не удаётся, включается третий этап. Программа загружает вспомогательный компонент. Внутри него лежат два драйвера, то есть служебные программы для работы с оборудованием на низком уровне системы. Первый подписан крупным производителем техники и содержит известную уязвимость. Второй подписи не имеет. Через уязвимый драйвер программа временно отключает проверку цифровых подписей, устанавливает свой модуль и сразу возвращает защиту в исходное состояние. Вредоносный драйвер не создаёт видимого устройства для обмена командами. Вместо этого он подписывается на системные события и получает задания по незаметному каналу. Дальше чтение чужой памяти идёт из ядра, где у программы больше прав.

Ущерб складывается из нескольких частей. Владельцы клубов платят за лишнее электричество и быстрее изнашивают технику. Посетители теряют аккаунты, внутриигровые предметы и привязанные платёжные данные. Восстановление доступа занимает дни и требует переписки со службой поддержки. В клубной сети с десятками машин потери растут пропорционально числу заражённых систем.

Защита строится на простых привычках. В интернет-кафе выходите из игрового клиента после сессии, не оставляйте вход активным. Не сохраняйте пароли и не включайте автоматический вход на чужом компьютере. Перед уходом убедитесь, что аккаунт закрыт полностью. Дома и в офисе держите средства защиты включёнными и обновлёнными. Не запускайте файлы неизвестного происхождения, включая взломанные игры и утилиты. Заметили подозрительный вход - смените пароль и проверьте привязанные устройства.

Этот набор уже распознаётся защитными решениями, поэтому заражение прерывается на раннем этапе. История показывает, что общественные игровые залы остаются удобной площадкой для злоумышленников. Контроль за запускаемыми файлами там слабый, а активных игровых сессий много. Пока клубные сети не ограничат запуск посторонних программ и не обновят конфигурацию, похожие кампании будут повторяться.