На волне майнинга. Новый вирус распространяемый через Facebook

[Xapu3ma-NN]

Как-то странно сделали .exe… добавили бы какой-нибудь видео файл в архив, чтобы при запуске .exe запускался еще и видео файл, тогда девочки бы могли и не заметить совсем))

[Melonom]

ох уж эта радость, когда ты антисоциальный и на мордакниге тебя нет.

[VioletGiraffe]

А ещё хорошо, когда бездомный, не нужно убирать в квартире и квартплаты тоже нет.

[sayber]

Немного оффтопа:
Я один из тех существ, которые не использует сервис фейсбук и не пользуется Windows.

[nochkin]

Ёжик, ты?
Наверно, сложно тебе лапками стучать по кнопкам что бы писать комментарии на Хабре.

[Arxitektor]

Думаю почти все знают что не стоит запускать КУЛ видео.mp4.exe и с иконкой youtube.
Хоть бы иконку сделали как у видео открываемого по умолчанию плеером в винде.
Читал статью что можно сделать название файла например: (как собрать .exe в блокноте и консоли.mp4) И это на самом деле ехе файл там фокус с порядком чтения с лева направо и с права налево. Он запускает майнер и видосик).
Как эта технология называется?

[aamonster]

Unicode RLM.

[EndUser]

Пантограмма? ;-)

[g0rd1as]

Если в json'е так открыто указаны логин и пароль к пулу, так что мешает залогиниться там и сменить пароль на что-то оооочень сложное, чтоб кулхацкеру хотя бы ненадолго испортить настроение?!

[GreenBee]

То, что это вовсе не пароль от аккаунта. Обычно это дополнительный идентификатор, который помогает отследить источник майнинга.

[g0rd1as]

А вообще, это даже не вирус, а сплошное недоразумение. :(

[ilyaplot]

safe: false — Ну мог бы и true поставить, threads: 1, max-cpu-usage: 50.
С таким набором параметров мало бы кто заметил майнер, т.к. процессор не будет загружен слишком сильно.
Параметр donate-level вообще интересный. В конфиге стоит 1%, что означает, что 1/100 нагрузки зараженных ПК работает на майнинг monero для автора xmrig.
Пул minergate, кстати, не самый удачный. Можно было бы взять какой-нибудь пулл, в котором не нужно указывать email :)
И да, касперский распознает xmrig как вирус из-за вот таких вот деятелей.

[ivanius]

Смотря какой касперский и включина ли эвристика.
Но суть статить и вируса мне кажется проверка сил разработчика и тестирование, он сейчас подучится на данной статье и на полезных комментариях, все это сделает и будет новый вирус — уже с котиками и плюшками :)

[pretorian007]

Ну судя по тому как все сделано, разработчик не очень умный, хотя намайнить «немного» он успел походу.

[ivanius]

Ну тут я с вами не соглашусь, опять же возможно он умный(предположение), но не оптный — вот опыта и хочет набратся, а может этот вирус был его дипломной работой и сдаст он ее видимо на хорошую оценку :)

[pretorian007]

Ну, возможно и так:)
Я написал разработчикам майнера, на всякий случай, хз могут ли они «прикрыть ему лавочку» или нет.

[ilyaplot]

Разработчики майнера ничего не смогут сделать. Можно только на пуле прикрыть лавочку.

[alexvoz]

Так а как он рассылал себя? Запускал скрипт если в браузере залогинен фейсбук?

[pretorian007]

Просто открывал браузер и вкладку с фб потом рассылался всем контактам. Если не залогинен, то естественно ничего не делал.

[g0rd1as]

Больно палевный вариант. :) Круче было бы, если бы он все это делал без открытия вкладки.

[ilyaplot]

Можно открыть новое окно за пределами видимой обасти. Была где-то статья про браузерный майнинг, там как раз так и реализовано.

[g0rd1as]

Да, кстати, тоже отличный трюк. Но там не совсем за пределами видимости было. ;) Я думаю, можно вообще попробовать указать координаты, которые будут за пределами видимости любого монитора, либо сделать окно размером в 1 пиксель… Короче, тут можно поизвращаться вдоволь.

[Goodkat]

Давеча поймали девчата на работе вирусняк забавный, ну как забавный, его запустили, а он сам себя разослал всем контактам. Сам же файл представляет собой архив, с названием типа video_*случайный набор цифт*, а в архиве exe'шник

По-моему, ещё в Windows 9x я себе на домашнем компе настраивал, чтобы запуск программ был разрешён только из папок Windows и Progra~1.
Почему этим никто не пользуется на рабочих компах, где потерять можно намного больше коллекции порно, пары игрушек и курсовой?
Я понимаю, когда вирусы лезут через дыру в сетевом протоколе и вредоносный код сразу выполняются с привилегиями драйверов, но от скачанного пользователем экзешника-то защититься проще простого!

да-да, не ругайте девочек, нам видео часто присылают вот они и кликнули)

Ругать не девочек надо, а начальника админов.

[g0rd1as]

Вот тут не об этом ли вирусе пишут подробнее: habrahabr.ru/company/cloud4y/blog/345342?