קמפיין מתוחכם לכריית מטבעות קריפטוגרפיים נחשף בימים האחרונים, כשהוא מסמן מטרה יוצאת דופן: מערכות המחשוב המאובטחות ביותר, כולל אלו המנותקות לחלוטין מרשת האינטרנט. הנוזקה, שמתמקדת בכריית המטבע מונרו (Monero), פועלת בשלבים ומפעילה מנגנונים אגרסיביים שנועדו למנוע את הסרתה מהמחשב.
בניגוד למתקפות כרייה סטנדרטיות, הקמפיין הנוכחי משתמש ביכולות של "תולעת" (Worm) כדי להפיץ את עצמו ומשתלט על רמת הליבה (Kernel) של מערכת ההפעלה. תחילת ההדבקה מתבצעת לרוב דרך חבילות תוכנה פיראטיות, המתחזות למתקינים לגיטימיים של תוכנות אופיס ופרודוקטיביות.
לרכישת מטבעות דיגיטליים. וואלה קריפטו >>
מנגנון "החייאה עצמית"
ברגע שהנוזקה מופעלת, היא פורסת מספר רכיבים שעובדים בתיאום מושלם. אחד המאפיינים המדאיגים ביותר הוא ארכיטקטורת ה-"Self-healing": תהליכי ניטור מוודאים שכל רכיבי הנוזקה פועלים, ואם המשתמש או אנטי-וירוס מצליחים לסגור רכיב אחד - האחרים "מקימים אותו לתחייה" בתוך שניות בודדות.
הפצה של הנוזקה מתבססת על ניטור אקטיבי של כוננים חיצוניים. ברגע שמשתמש מחבר דיסק-און-קי או כונן קשיח חיצוני למחשב נגוע, הנוזקה מעתיקה את עצמה אליו באופן אוטומטי ויוצרת תיקיות מוסתרות עם קיצורי דרך מטעים. בדרך זו, היא מצליחה "לקפוץ" ממחשב למחשב, גם למערכות מנותקות רשת, דרך המדיה הפיזית.
ברמה הטכנית, הנוזקה משתמשת בשיטה המכונה "Bring Your Own Vulnerable Driver". היא משתילה במערכת דרייבר לגיטימי אך פגיע (WinRing0x64.sys), המאפשר לה לעקוף את שכבות ההגנה של מערכת ההפעלה ולהשיג הרשאות גבוהות במיוחד (Ring 0).
באמצעות הגישה הזו, הנוזקה משנה הגדרות ישירות במעבד (CPU) כדי לייעל את תהליך הכרייה. לפי הדיווח, האופטימיזציה הזו מצליחה להעלות את קצב הכרייה ב-15% עד 50%. בנוסף, היא יודעת לסגור תהליכים של כלי אבטחה ואפילו את ה-Windows Explorer כדי למקסם משאבים.
תאריך תפוגה מתוכנן
מעניין לציין כי המתקפה כוללת "תאריך תפוגה" מובנה. קוד הנוזקה בודק האם התאריך הנוכחי מאוחר מה-23 בדצמבר 2025. אם התאריך עבר, הנוזקה נכנסת למצב ניקוי: היא מפסיקה את פעילותה ומוחקת את הקבצים שהשתילה, ככל הנראה כדי להעלים ראיות לאחר סיום המבצע המתוכנן.
מומחי אבטחה ממליצים לארגונים ליישם חסימה של דרייברים פגיעים דרך הגדרות ה-Windows Defender, להגביל שימוש באמצעי אחסון חיצוניים ולהגביר את המודעות של העובדים לסכנות הטמונות בהורדת תוכנות פיראטיות.