Un malware de minage prend soin de se débarrasser des autres logiciels malveillants avant d’opérer

Les mal­wares de minage se livrent une lutte sans mer­ci pour s’ac­ca­pa­rer les res­sources des machines infec­tées. C’est en tout cas le constat qui se dégage de l’ar­ri­vée d’un nou­veau type de mal­ware, qui va prendre soin d’é­li­mi­ner ses « concur­rents » avant de miner des crypto-monnaies.

Xavier Mer­tens, un consul­tant en cyber­sé­cu­ri­té, a récem­ment aler­té sur l’exis­tence d’un nou­veau mal­ware qui mine­rait des cryp­to-mon­naies. Sa par­ti­cu­la­ri­té ? Il va tout d’a­bord cher­cher à mettre fin à l’ac­ti­vi­té d’autres logi­ciels mal­veillants poten­tiel­le­ment pré­sents sur le sys­tème infecté.

L’a­lerte a été publié sur les forums rela­tifs à la sécu­ri­té de l’Inter­net Storm Cen­ter, géré par le SANS Tech­no­lo­gy Ins­ti­tute :

« L’ob­jec­tif prin­ci­pal consiste à faire télé­char­ger et exé­cu­ter un logi­ciel de minage. Mais le code intègre éga­le­ment un méca­nisme des­ti­né à débus­quer d’autres logi­ciels simi­laires, ain­si que des outils de sécu­ri­té et des pro­ces­sus gour­mands en termes de consom­ma­tion de puis­sance CPU. En effet, les logi­ciels de minage exploitent inten­si­ve­ment les pro­ces­seurs. Et plus il y a de res­sources CPU dis­po­nibles à détour­ner, plus il est pos­sible de gagner d’argent ».

Il a éga­le­ment ajou­té que « la lutte pour les res­sources CPU [avait] com­men­cé », notant que ce logi­ciel ten­tait d’é­li­mi­ner les autres pro­grammes mal­veillants qui pour­raient lui faire concur­rence dans la cap­ta­tion des res­sources de l’or­di­na­teur ciblé.

Et pour cela, il s’ap­puie sur un méca­nisme plu­tôt simple. Le mal­ware va ana­ly­ser un pro­ces­sus appe­lé « AMDDriver64 »,  sou­vent uti­li­sé par ces logi­ciels malveillants.

Il va éga­le­ment recher­cher d’autres mal­wares connus comme XMRig et Clay­more (asso­ciés au pro­ces­sus « nscpucnminer64 »), mais aus­si de « faux pro­ces­sus » sur les­quels s’ap­puient cer­tains logi­ciels, comme « taskn­gr » (qui vient imi­ter le pro­ces­sus du ges­tion­naire de tâches « taskm­gr ») ou encore « win1ogin » (des­ti­né à mimer le pro­ces­sus de connexion Win­dows « winlogin »).

L’ar­ri­vée de ce nou­veau logi­ciel, qui tente d’é­li­mi­ner ses concur­rents, témoigne de l’é­mer­gence de nom­breux mal­wares liés aux actifs numé­riques. Elle s’ins­crit dans la pré­dic­tion d’un cher­cheur de Syman­tec, qui avait récem­ment décla­ré que ces logi­ciels mal­veillants « pour­raient deve­nir plus ren­tables et prendre de l’am­pleur » au cours des pro­chains mois.

Réfé­rences : Cryp­to­vest, SANS