Três em um: malware é botnet, minera criptomoedas e instala bootkit para persistência

A Trend Micro descobriu uma variante do MyKings que além de ser uma botnet, minera criptomoedas e instala também um bootkit para persistência para se manter instalado na máquina infectada e “sobreviver” à reboots. A empresa de segurança divulgou texto, em inglês, explicando o funcionamento do malware detectado durante o processo de integração de serviços de Detecção e Resposta Gerenciada de uma empresa de produtos eletrônicos na região Ásia-Pacífico. 

As atividades suspeitas detectadas eram relacionadas ao EternalBlue, também conhecida por ter sido utilizada nos ataques WannaCry. A variante de malware estava escondida no sistema da empresa em 2017, cerca de dois anos antes de ser descoberta, o que dificulta determinar a carga real do MyKings. Além disso, houve alteração constante dos seus alvos e métodos de infecção, incluindo diferentes tipos de malware, como um backdoor, um minerador de criptomoedas e um cavalo de tróia — trojan. Ele também usa vários mecanismos de persistência, dificultando a remoção da máquina infectada.

A ameaça, extremamente avançada, exige know-how especializado para ser desenvolvida, e o fato de ter um bootkit nesse malware sugere que o investimento em seu desenvolvimento foi alto — logo, o retorno deve ser alto também. O MyKings já infectou mais de 500 mil máquinas e minerou o equivalente a US$ 2,3 milhões no início de 2018, segundo a Trend Micro. Os dados regionais de 2017 mostram que a maioria dos ataques foram na região Ásia-Pacífico. Seria botnet + minerador + persistência avançada uma nova tendência para os malwares? ?