Un malware caché dans des jeux piratés désactive les antivirus et mine de la cryptomonnaie

Fanny Dufour 28 juin 2021 à 15h129

Des chercheurs d'Avast ont déclaré avoir trouvé un malware qui désactive les antivirus et installe un logiciel pour miner de la cryptomonnaie.

Ce virus se propage à travers des copies illégales de jeux vidéo, ciblant les plus populaires d'entre eux.

Crackonosh, un malware qui désactive des antivirus pour installer un logiciel de minage

Interpelés par des retours d'utilisateurs indiquant qu'Avast avait été supprimé de leur ordinateur, les chercheurs de l'entreprise ont fini par trouver un malware, qu'ils ont nommé « Crackonosh ». Ce virus, caché dans des copies pirates de jeux vidéo populaires, circule selon eux depuis 2018 et a un but principal l'installation d'un logiciel de minage pour récupérer de la cryptomonnaie.

Crackonosh s'installe sur le PC de sa victime durant l'installation du jeu et reste dormant pendant un moment. L'un de ses scripts qui se lance au démarrage, Maintenance.vbs, est doté d'un compteur qui attend le septième ou dixième démarrage du système pour lancer serviceinstaller.msi. Il fait également en sorte qu'au prochain démarrage, le système se lance en mode sans échec.

Quant à serviceinstaller.msi, il ne sert qu'à permettre à serviceinstaller.exe d'être exécuté en mode sans échec, en l'enregistrant comme service. Maintenance.vbs et serviceinstaller.msi sont par la suite supprimés, afin de couvrir leurs traces.

En mode sans échec, les antivirus ne fonctionnent pas et le virus en profite pour désactiver et supprimer Windows Defender pour installer son propre programme imitant l'icône du programme de Microsoft. Il s'occupe également de désactiver les antivirus présents sur l'appareil ainsi que les mises à jour automatiques du système et met en place des systèmes pour pouvoir se mettre à jour, éviter la détection et l'analyse.

Un virus qui se propage par des jeux piratés

L'objectif final de ce malware est l'installation d'un mineur de cryptomonnaie, XMRig. Grâce à ce système, les créateurs de ce virus auraient réussi à récupérer 9 000 XMR depuis juin 2018, qui correspondent à 2 millions de dollars selon le cours actuel. 222 000 systèmes auraient été infectés dans le monde entier.

Avast a trouvé Crackonosh dans les installeurs de 11 jeux piratés, dont GTA V ou encore Les Sims 4, souvent des cibles faciles compte tenu de leur popularité auprès des joueurs. « Ce qu'il faut retenir de tout cela, c'est qu'il n'est pas possible d'obtenir quelque chose pour rien et que lorsque vous essayez de voler un logiciel, il y a de fortes chances que quelqu'un essaie de vous voler », conclut Daniel Benes, l'auteur du papier.

Si vous pensez avoir été infecté par ce malware, Avast détaille comment le détecter et le supprimer du système dans son article, cité en source.

Sources : Gizmodo, Avast