Doctor Web：EFIパーティションに侵入する仮想通貨スティーラーを含んだ海賊版Windowsビルドを特定

Doctor Webは、サイバー犯罪者によってトレント(torrent)トラッカーから拡散されていた複数の非公式Windows 10ビルドに、悪意のあるクリッパープログラムが含まれていることを発見しました。Trojan.Clipper.231と名づけられたこのトロイの木馬アプリは、クリップボード内の仮想通貨ウォレットアドレスを攻撃者のアドレスに置き換えます。現時点で、約1万9,000ドル相当の仮想通貨が盗まれています。

＃＃＃

2023年5月末、Doctor WebはカスタマーからWindowsコンピューターが感染している疑いがあるという連絡を受け、スペシャリストによる調査を行いました。解析の結果、システム内にトロイの木馬を含んだアプリケーションが存在することが明らかになりました。発見されたのはスティーラーマルウェア Trojan.MulDrop22.7578 とインジェクター Trojan.Inject4.57873 です。Doctor Webのウイルスラボはこれらすべての脅威を特定し駆除することに成功しました。

同時に、標的となったOSは非公式のビルドであり、悪意のあるアプリは最初から組み込まれていたということが明らかになりました。さらなる調査の結果、以下の複数のWindowsビルドで同様の感染が確認されました。

Windows 10 Pro 22H2 19045.2728 + Office 2021 x64 by BoJlIIIebnik RU.iso
Windows 10 Pro 22H2 19045.2846 + Office 2021 x64 by BoJlIIIebnik RU.iso
Windows 10 Pro 22H2 19045.2846 x64 by BoJlIIIebnik RU.iso
Windows 10 Pro 22H2 19045.2913 + Office 2021 x64 by BoJlIIIebnik [RU, EN].iso
Windows 10 Pro 22H2 19045.2913 x64 by BoJlIIIebnik [RU, EN].iso
これらはすべてトレントトラッカーの一つからダウンロード可能なものですが、悪意のあるアクターは別のサイトからも感染したシステムISOイメージを拡散させている可能性があります。

上記ビルドに含まれていた悪意のアプリは次のシステムディレクトリ内で発見されています。

詳細は以下をご覧ください。
(リンク »)