Dexphot Polymorphic Malware attacca Windows per estrarre criptovaluta

Una nuova varietà di malware soprannominata Dexphot che attacca i computer Windows per estrarre criptovaluta, servizi di monitoraggio e attività pianificate per rieseguire l’infezione se Windows Defender la rimuove.

Il malware utilizza tecniche di filess che ottiene codici dannosi eseguiti direttamente in memoria e inoltre dirotta il processo legittimo per nascondere l’attività dannosa. Microsoft ha seguito da vicino la minaccia dal 2018, gli attori della minaccia migliorano continuamente il malware, prendono di mira nuovi processi e il meccanismo di difesa.

L’infezione inizia con il programma di installazione che scarica il pacchetto MSI dai due URL incorporati e quindi utilizza msiexec.exe per eseguire un’installazione invisibile all’utente. Verifica inoltre l’installazione del software antivirus, se è stato rilevato un antivirus che interrompe immediatamente l’installazione, altrimenti decomprime lo ZIP protetto da password. Il file decompresso utilizzando unzip.exe presente nel pacchetto.

Il file zip ha tre file come DLL caricatore, DLL pulita per evitare il rilevamento e dati codificati. Questi file sono stati decompressi nella cartella Preferiti del sistema.