Descubren un malware de minado de criptodivisas que elimina a la competencia

GhostMiner apenas había logrado recaudar 200 dólares en las últimas 3 semanas, pero ahora ha servido a los investigadores para crear un script capaz de detectar y borrar esta clase de malware.

Investigadores de la compañía de ciberseguridad Minerva Labs han anunciado el descubrimiento de una nueva clase de malware de minado de criptodivisas capaz de aprovecharse de los marcos de trabajo de la Powershell para ejecutar código que no sólo lo oculta frente a software de detección de malware, sino que también escanea el equipo en busca de otros programas similares con el objetivo de detener sus procesos y de no tener que competir, de este modo, por el tiempo de proceso de la CPU.

Otra particularidad de este malware (bautizado con el nombre de GhostMiner) es que parece ser el primero del tipo “sin ficheros” en el ámbito del minado de criptodivisas. La técnica ‘sin ficheros’, que ha ido ganando popularidad entre los ciberdelincuentes en los últimos años, permite ejecutar código malicioso directamente desde la memoria, sin dejar un rastro archivos en el disco, y reduce, por lo tanto, la cantidad de elementos que podrían ayudar a que los motores antivirus clásicos lo detectases.

Pese a recurrir a esta clase de técnicas avanzadas, GhostMiner no habría logrado cosechar ingresos sustanciales para sus creadores: según los investigadores de Minerva Labs, en las 3 semanas que lleva activo sólo llevaría acumulados en torno a 1’03 moneros, equivalente a unos 200 dólares estadounidenses.

En cualquier caso, los investigadores de Minerva Labs han aclarado que no podían dejar que el esfuerzo realizado por los autores de GhostMiner cayeran en saco roto, dado que se preocuparon de confeccionar una completa lista de procesos relacionados con otros tipos de malware de minado que podrían encontrarse en ordenadores infectados. Por ello, han anunciado que van a reutilizar dicha lista para crear un script PowerShell capaz de rastrear y eliminar todo ese software: la secuencia de comandos está disponible en GitHub.

Vía |  BleepingComputer