Обнаружен вирус в KMS активаторах от Ratiborus

С 2016 года в сети наблюдается распространение вируса, связанного с KMS активаторами от Ratiborus. Этот вредоносный софт не затрагивает все версии активаторов, но представляет собой серьезную угрозу для безопасности пользователей. Ниже представлены ключевые аспекты, касающиеся этого вируса.

Основные файлы вируса

KMS Unpack tools.exe:

Данный файл выполняет функции майнера, использующего ресурсы системы для добычи криптовалюты, и распаковщика, что облегчает загрузку других вредоносных компонентов.

data0.bin (SFX архив):

Содержит RDP Wrapper, позволяющий удаленный доступ к зараженному устройству, а также блокирует работу антивирусного программного обеспечения.

data1.bin (SFX архив):

Включает несколько подозрительных файлов:

game.exe: Назначение неизвестно, но может использоваться для вредоносной активности.

taskhostw.exe: Этот файл блокирует запуск различных программ, добавляет их в исключения Windows Defender и предотвращает доступ к антивирусным сайтам. Он также восстанавливает правила блокировки, если они были удалены.

AMD.exe: Обнаруживается как Coinminer.cl, функции не ясны.

audiodg.exe: Модифицированная версия стандартного файла, может служить прикрытием для вредоносной активности.

winsrv.exe: Определяется как майнер, использующий ресурсы системы для криптомайнинга.

Влияние на систему

Вирус может вносить изменения в реестр Windows, чтобы обеспечить скрытое функционирование. Он может добавлять записи в автозагрузку и исключения Windows Defender, что затрудняет его обнаружение и удаление. Например:

Автозагрузка:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

Исключения Defender:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths