马里奥暗藏病毒

password

icon

URL

type

date

summary

status

slug

Cyble的研究人员发现，威胁行为者正在分发《超级马里奥 3：永远的马里奥》安装程序的修改样本，并通过未知渠道作为自解压存档可执行文件进行分发。

该木马游戏可能会在游戏论坛、社交媒体群组上进行推广，或通过恶意广告、黑色 SEO 等方式推送给用户。

该存档包含三个可执行文件，其中一个用于安装合法的 Mario 游戏（“super-mario-forever-v702e.exe”），另外两个“java.exe”和“atom.exe”则被谨慎地安装到受害者的 AppData 上游戏安装时的目录。

文件投放到受害者的磁盘上 （Cyble）

一旦恶意可执行文件进入磁盘，安装程序就会执行它们来运行 XMR (Monero) 挖矿程序和 SupremeBot 挖矿客户端。

木马安装程序 （Cyble）

“java.exe”文件是一个门罗币矿工，它收集有关受害者硬件的信息并连接到“gulf[.]moneroocean[.]stream”的挖掘服务器以开始挖掘。

SupremeBot（“atom.exe”）创建自身的副本，并将副本放置在游戏安装目录的隐藏文件夹中。

接下来，它创建一个计划任务来执行每 15 分钟无限期运行的副本，隐藏在合法进程的名称下。

终止初始进程并删除原始文件以逃避检测。然后恶意软件建立C2连接来传输信息、注册客户端并接收挖掘配置以开始挖掘门罗币。

最后，SupremeBot 从 C2 检索额外的有效负载，以名为“wime.exe”的可执行文件形式到达。

完整的感染链

最后一个文件是 Umbral Stealer，它是一个开源 C# 信息窃取程序，自 2023 年 4 月起在 GitHub 上提供，它可以从受感染的 Windows 设备中窃取数据。

这些被盗数据包括存储在网络浏览器中的信息，例如存储的密码和包含会话令牌的 cookie、加密货币钱包以及 Discord、Minecraft、Roblox 和 Telegram 的凭证和身份验证令牌。

Umbral Stealer 功能总结

Umbral Stealer 还可以创建受害者 Windows 桌面的屏幕截图或使用连接的网络摄像头捕获媒体。所有被盗数据在渗漏到 C2 服务器之前都存储在本地。

如果未启用篡改保护，信息窃取程序能够通过禁用该程序来逃避 Windows Defender。如果没有，它将其进程添加到 Defender 的排除列表中。

此外，该恶意软件还会修改 Windows 主机文件，以损害流行防病毒产品与公司站点的通信，从而阻止其正常运行和有效性。

将安全站点的 IP 设置为 0.0.0.0

如果您最近下载了《超级马里奥 3：永远的马里奥》，您应该扫描计算机中是否安装了恶意软件，并删除检测到的任何恶意软件。

如果检测到恶意软件，您应该在敏感站点（例如银行、金融、加密货币和电子邮件站点）重置密码。重置密码时，请在每个站点使用唯一的密码，并使用密码管理器来存储它们。

同样重要的是要记住，在下载游戏或任何软件时，请确保从发行商网站或值得信赖的数字内容分发平台等官方来源进行下载。

在启动下载的可执行文件之前，请始终使用防病毒软件对其进行扫描，并保持安全工具最新。