<\/p>\n\n\n\n
hackers est\u00e3o distribuindo o Windows 10 baixado atrav\u00e9s de torrents. Essas arquivos do Windows 10 pirata ocultam malwares sequestradores de criptomoeda na parti\u00e7\u00e3o EFI (Extensible Firmware Interface) para evitar a detec\u00e7\u00e3o.<\/p>\n\n\n\n
A parti\u00e7\u00e3o EFI \u00e9 uma pequena parti\u00e7\u00e3o do sistema(HD) que cont\u00e9m o bootloader e os arquivos relacionados executados antes da inicializa\u00e7\u00e3o do sistema operacional.<\/p>\n\n\n\n
\u00c9 essencial para sistemas alimentados por UEFI que substituem o BIOS agora obsoleto.<\/p>\n\n\n\n
Houve ataques utilizando parti\u00e7\u00f5es EFI modificadas para ativar malware de fora do contexto do sistema operacional e suas ferramentas de defesa, como no caso do BlackLotus . No entanto, as ISOs piratas do Windows 10 descobertos pelos pesquisadores apenas usam o EFI como um espa\u00e7o de armazenamento seguro para os componentes do clipper.<\/p>\n\n\n\n
Devido \u00e0 falta de verifica\u00e7\u00e3o das ferramentas antiv\u00edrus convencionais na parti\u00e7\u00e3o EFI, existe a possibilidade de o malware passar despercebido pelas detec\u00e7\u00f5es de amea\u00e7as.<\/p>\n\n\n\n
Segundo o relat\u00f3rio do site Dr Web<\/strong>, explica que as compila\u00e7\u00f5es maliciosas do Windows 10 ocultam os seguintes aplicativos no diret\u00f3rio do sistema:<\/p>\n\n\n\n Quando o sistema operacional \u00e9 instalado usando a ISO pirata, uma tarefa agendada \u00e9 criada para iniciar um execut\u00e1vel chamado iscsicli.exe, que monta a parti\u00e7\u00e3o EFI como a unidade “M:\\”. Depois de montado, o esse execut\u00e1vel copia os outros dois arquivos, recovery.exe e kd_08_5e78.dll, para a unidade C:\\.<\/p>\n\n\n\n O Recovery.exe \u00e9 ent\u00e3o iniciado, o que injeta a DLL do malware clipper no processo leg\u00edtimo do sistema %WINDIR%\\System32\\Lsaiso.exe por meio de esvaziamento do processo.<\/p>\n\n\n\n Ap\u00f3s ser injetado, o clipper verificar\u00e1 se o arquivo C:\\Windows\\INF\\scunown.inf existe ou se alguma ferramenta de an\u00e1lise est\u00e1 rodando, como Process Explorer, Task Manager, Process Monitor, ProcessHacker, etc.<\/p>\n\n\n\n Se forem detectados, o clipper n\u00e3o substituir\u00e1 os endere\u00e7os de carteira criptogr\u00e1fica para evitar a detec\u00e7\u00e3o por pesquisadores de seguran\u00e7a.<\/p>\n\n\n\n Depois que o clipper estiver em execu\u00e7\u00e3o, ele monitorar\u00e1 a \u00e1rea de transfer\u00eancia do sistema em busca de endere\u00e7os de carteira de criptomoeda. Se algum for encontrado, eles ser\u00e3o substitu\u00eddos imediatamente por endere\u00e7os sob o controle do invasor.<\/p>\n\n\n\n Esses endere\u00e7os foram extra\u00eddos do seguinte ISO do Windows compartilhado em sites de torrent, mas o Dr. Web adverte que pode haver mais por a\u00ed:<\/p>\n\n\n\n\n
Como Funciona?<\/h2>\n\n\n\n
ISOs Identificadas como Infectadas<\/h2>\n\n\n\n