惡意KMSPico安裝器可竊取加密貨幣錢包
攻擊者通過傳播惡意KMSpico 安裝器來感染Windows設備，并竊取加密貨幣錢包。
KMSpico安裝器是一款非常流行的Windows和office產品激活工具，可以模擬Windows密鑰管理服務(Key Management Services，KMS)來欺詐性地激活證書。許多IT公司都使用KMSPico激活Windows服務，而不購買合法的微軟證書。
近期，Red Canary安全研究人員發現有攻擊者通過傳播修改的惡意KMSpico安裝器來感染Windows設備。
修改的產品激活器
分發的KMSPico中包含廣告惡意軟件和惡意軟件。下圖中可以看出，攻擊者創建了大量的網站來分發KMSPico，都聲稱是官方網站。
谷歌搜索KMSPico返回的結果都稱是官方網站
RedCanary通過分析發現，惡意KMSPico安裝器來自7-zip這樣的自提取的可執行文件，其中既包含KMS服務器模擬器，還包括Cryptbot。
用戶點擊惡意鏈接，下載KMSPico或者Cryptbot或其他不含KMSPico的惡意軟件，就會被感染。安裝KMSPico的同時也會同時部署Cryptbot。
惡意軟件還被CypherIT打包器封裝，混淆安裝器來預防被安全軟件檢測到。然后，安裝器會啟動一個嚴重混淆的腳本，該腳本可以檢測沙箱和反病毒模擬環境，如果發現就不會執行。
混淆的Cryptbot代碼
此外，Cryptobot會檢查是否存在%APPDATA%\Ramson，如果文件夾存在就執行自刪除過程來預防再次感染。攻擊者通過process hollowing方法將Cryptbot字節注入到內存中，惡意軟件的其他特征與之前發現的特征有重合。
總的來看， Cryptbot 可以從以下APP中收集敏感信息：
- Atomic加密貨幣錢包
- Avast安全web瀏覽器
- Brave瀏覽器
- Ledger Live加密貨幣錢包
- Opera Web瀏覽器
- Waves Client and Exchange加密貨幣應用
- Coinomi加密貨幣錢包
- Google Chrome Web瀏覽器
- Jaxx Liberty加密貨幣錢包
- Electron Cash加密貨幣錢包
- Electrum加密貨幣錢包
- Exodus加密貨幣錢包
- Monero加密貨幣錢包
- MultiBitHD加密貨幣錢包
- Mozilla Firefox Web瀏覽器
- CCleaner Web瀏覽器
- Vivaldi Web瀏覽器
因為Cryptbot的操作并不依賴硬盤上未加密的二進制文件的存在，只可以通過監控PowerShell命令執行或者外部網絡通信等惡意行為監控來實現檢測。
完整技術分析參見：https://redcanary.com/wp-content/uploads/2021/12/KMSPico-V5.pdf
本文翻譯自：https://www.bleepingcomputer.com/news/security/malicious-kmspico-installers-steal-your-cryptocurrency-wallets/如若轉載，請注明原文地址。
