Любитель компьютерных игр и криптовалют распространяет среди пользователей тематических российских форумов мод для Grand Theft Auto (GTA) с вшитым майнером Monero. К такому заключению пришли исследователи компании Minerva.
Источник: Minerva Labs
Злоумышленник использует модифицированную версию полноценного майнера с открытым кодом XMRig под названием WaterMiner. Сооснователь Minerva Labs Омри Моял считает, что, скорее всего, автор модификации игры и майнера – один и тот же человек, скрывающийся под ником «Martin Opc0d3r». Моял заявил, что взломщик оставил в своём коде «крошки», которые позволяют связать его с обеими модификациями. Он отмечает, что для взлома игр и написания подобных программ требуются одинаковые знания.
Чтобы скрыть майнер от пользователей, Opc0d3r «научил» его автоматически выключаться, когда пользователь открывает диспетчер задач Windows или другое программное обеспечение, позволяющее определить, какой процесс тормозит работу компьютера.
Моял сообщает, что зловредная модификация для GTA носит название «Arbuz». Таким образом, выбор названия WaterMiner явно не случаен, поскольку в английском языке арбуз обозначается словом «watermelon».
Мод для GTA был загружен в виде RAR-архива на сервис Яндекс.Диск. В архиве содержится файл «pawncc.exe», который запускает процесс скачки WaterMiner. Кроме того, исследователям Minerva удалось найти более раннюю версию того же майнера с комментариями автора.
Источник: Minerva Labs
Источник: Minerva Labs
После активации майнер использует TCP-порт 45560 для связи с майнинг-пулом, который собирает вычислительные мощности всех инфицированных компьютеров и использует их для майнинга анонимной криптовалюты Monero.
Исследователи Minerva предположили, что Martin Opc0d3r ранее пытался распространять другую версию майнера под названием NiceHash. Также они пришли к выводу, что его могут звать Антон, найдя в социальной сети ВКонтакте страницу 0pc0d3r. Тот же человек распространял игровые моды на сайте.
Источник: Minerva Labs
