Pesquisadores da ASEC (AhnLab) documentaram uma campanha que propaga um minerador de criptomoedas via drives USB, visando estações de trabalho na Coreia do Sul e instalando XMRig para minerar Monero.
Descoberta e escopo / O que mudou agora
A campanha usa drives USB infectados contendo uma pasta oculta chamada sysvolume e um atalho visível nomeado "USB Drive.lnk". Ao executar o atalho, usuários acreditam abrir seus arquivos, mas acionam um VBS com nome gerado aleatoriamente (por exemplo u566387.vbs) que inicia a cadeia de infecção.
Vetor e exploração / Mitigações
A cadeia envolve VBS que chama scripts BAT; o BAT copia um dropper renomeado como printui.dll e o carrega via o executável legítimo printui.exe. O componente de dropper registra a DLL com o serviço DcomLaunch para persistência e ajusta configurações de energia para evitar que a máquina entre em repouso, mantendo assim a mineração ativa.
Além disso, os scripts adicionam caminhos de exclusão ao Windows Defender e criam uma pasta com um espaço em seu nome em C:\Windows \System32\ (observação: contém o espaço) como parte das táticas de evasão.
Impacto e alcance / Setores afetados
Os arquivos de payload finalmente extraem e executam o XMRig com parâmetros específicos, por exemplo:
-o r2.hashpoolpx[.]net:443 --tls --max-cpu-usage=50
O minerador também monitora processos em execução e encerra XMRig quando deteta jogos ou ferramentas de monitoramento de processos (Process Explorer, Task Manager, System Informer), reduzindo sinais de anomalia perceptíveis pelos usuários.
Limites das informações / O que falta saber
A ASEC documentou o fluxo técnico e a configuração do pool de mineração, mas o relatório não fornece um número agregado de máquinas afetadas nem evidências de campanhas direcionadas a empresas específicas. Mandiant já categorizou famílias relacionadas como DIRTYBULK e CUTFAIL em análises anteriores, indicando evolução nas técnicas.
Repercussão / Próximos passos
- Bloquear execução automática de atalho/lnk vindos de mídias removíveis e inspecionar userData em drives USB;
- Monitorar criação de DLLs carregadas por executáveis do sistema (ex.: printui.exe) e anomalias em serviços como DcomLaunch;
- Auditar exclusões do Windows Defender e monitorar conexões TLS para pools de mineração suspeitos.
Fontes: relatório técnico da ASEC (AhnLab) e resumo publicado por Cyber Security News.