Хакеры все чаще используют Windows-инструмент Advanced Installer, чтобы заражать майнинговой малварью компьютеры графических дизайнеров, архитекторов и инженеров. Злоумышленники скрывают свои вредоносы в установщиках популярных программ для 3D-моделирования и графического дизайна, включая Adobe Illustrator, Autodesk 3ds Max и SketchUp Pro.
Эксперты Cisco Talos, заметившие эту тенденцию, сообщают, что атаки в основном направлены на франкоязычных пользователей. Так, большинство жертв находится во Франции и Швейцарии. Также заметное количество заражений отмечается в США, Канаде, Германии, Алжире и Сингапуре.
Судя по всему, хакеры рекламируют зараженное ПО, используя методы «черного SEO», и на деле такой пиратский софт оказывается заражен троянами удаленного доступа (RAT) и полезными нагрузками майнеров.
По мнению экспертов, злоумышленники сосредотачивают свои усилия на конкретных целях, поскольку графические дизайнеры, аниматоры и так далее чаще используют компьютеры с мощными графическими процессорами, то есть майнинг на их машинах будет более выгодным.
Исследователи пишут, что заметили два различных метода атак, использованных в рамках этой кампании. В обоих случаях злоумышленники используют Advanced Installer для создания файлов установщика Windows, содержащих вредоносный PowerShell и batch-скрипты, которые выполняются при запуске установщика с помощью функции Custom Action. Отмечается, что методы атак отличаются выполняемыми скриптами, сложностью цепочки заражения и конечными полезными нагрузками.
В итоге атаки приводят к заражению машины жертвы трояном удаленного доступа M3_Mini_Rat, который позволяет хакерам провести разведку и установить дополнительные пейлоады в систему.
Дополнительными полезными нагрузками выступают PhoenixMiner и lolMiner, которые добывают криптовалюту и «воруют» вычислительную мощность видеокарт AMD, Nvidia и Intel (только lolMiner).
PhoenixMiner предназначен для добычи Ethash (ETH, ETC, Musicoin, EXP, UBQ и так далее), а lolMiner поддерживает несколько протоколов, включая Etchash, Autolykos2, Beam, Grin, Ae, ALPH, Flux, Equihash, Kaspa, Nexa, Ironfish и другие. К тому же lolMiner версии 1.76, замеченный в этой кампании, поддерживает одновременный майнинг двух разных криптовалют.
