Весной 2025 года специалисты Центра кибербезопасности F6 (ЦК F6) выявили масштабную волну распространения вредоносного ПО для скрытого майнинга криптовалют. Источником заражения стали бесплатные онлайн-библиотеки электронных книг, в том числе клоны известных пиратских ресурсов.

После блокировки пиратской библиотеки «Флибуста» на территории России ещё в 2016 году, в интернете появилось множество её клонов. Они позволяют загружать книги или их фрагменты без необходимости обходить блокировки. Именно такие сайты и стали площадкой для новой вредоносной кампании. Стоит отметить, что в октябре 2024 года основатель оригинальной «Флибусты», известный как Stiver, скончался в Германии после продолжительной борьбы с глиобластомой.

Весной 2025 года одна из систем F6 зафиксировала подозрительную активность на рабочем устройстве клиента. Внимательный анализ показал, что через PowerShell на компьютере были внесены изменения в исключения антивируса Windows Defender, позволяющие скрывать исполняемые файлы. Кроме того, в системе появился подозрительный сервис GoogleUpdateTaskMachineQC, закрепляющий угрозу.

Исследование показало, что заражение началось после того, как пользователь скачал файл с сайта flibusta[.]su. Поведение устройства указывало на работу майнера криптовалюты, скрытого внутри архива с «книгой».

Вредоносный архив содержал легитимный исполняемый файл программы Sandboxie и библиотеку SbieDll.dll, модифицированную для запуска вредоносного кода. Такой подход использует известную технику DLL Sideloading — загрузку изменённой библиотеки вместо оригинальной, чтобы внедрить вредонос.

Как установили специалисты, SbieDll.dll основана на проекте SilentCryptoMiner, исходный код которого находится в открытом доступе. Это позволило злоумышленникам гибко настраивать функционал, включая маскировку активности и защиту от удаления.

Чтобы повысить эффективность добычи криптовалюты, злоумышленники используют драйвер WinRing0.sys, позволяющий получить доступ к низкоуровневым системным ресурсам, включая регистры процессора. Также вредонос анализирует систему, внедряется в процесс explorer.exe и начинает скрытый майнинг, взаимодействуя с доменом dodoloo[.]quest.

В рамках расследования специалисты ЦК F6 выявили цепочку аналогичных сайтов, участвующих в кампании: flibusta[.]one, flibusta[.]top, mir-knig[.]xyz, litmir[.]site. Кроме того, аналогичные вредоносные скрипты были обнаружены и на других ресурсах, включая иностранные сайты, что указывает на взлом и заражение серверов.

Подробнее: https://www.securitylab.ru/news/560770.php