Хакер уапсен поради KMSAuto малвер кампања со 2,8 милиони преземања

Литвански државјанин е уапсен за наводно учество во инфицирање на 2,8 милиони системи со малвер за кражба на содржината на клипбордот (clipboard-stealing malware), маскиран како алатка KMSAuto за нелегално активирање на Windows и Office софтвер.

29-годишниот маж е екстрадиран од Грузија во Јужна Кореја по поврзана наредба координирана преку Интерпол.

Според Корејската национална полиција, осомничениот користел KMSAuto за да ги привлече жртвите да преземат злонамерен извршен фајл (malicious executable) кој го скенирал клипбордот за криптовалути и го заменувал со адреси контролирани од напаѓачот – оваа закана се нарекува clipper malware.

„Од април 2020 до јануари 2023, хакерот дистрибуирал 2,8 милиони копии ширум светот на малвер маскиран како нелегална програма за активирање на Windows (KMSAuto),“ велат полицијата.

„Преку овој малвер, хакерот украл виртуелни средства во вредност од околу 1,7 милијарди корејски вони (1,2 милиони американски долари) во 8.400 трансакции од корисници на 3.100 виртуелни адреси.“

Полицијата ја започнала истрагата во август 2020, по пријава за cryptojacking, каде системот на жртвата бил инфициран со clipper malware, кој ја менувал адресата на примачот за да ги пренасочи плаќањата кон напаѓачот.

Истрагата откри малвер инфекција преку споменатата алатка KMSAuto. Според истражителите, clipper-от бил насочен кон најмалку шест берзи за криптовалути.

По следење на украдените средства и идентификување на сторителот, во декември 2024 во Литванија беше извршена рација, при која беа конфискувани 22 предмети, вклучувајќи лаптопи и мобилни телефони.

Испитувањето на запленетите предмети откри инкриминирачки докази, што на крајот доведе до апсењето на хакерот во април 2025, додека патувал од Литванија кон Грузија.

Јужнокорејската полиција потсетува дека користењето на нелегален софтвер кој го крши авторското право е ризично, бидејќи таквите алатки можат да внесат малвер во системот.

Овој тип на алатки често се користи за дистрибуција на малвер. Недавно, сајбер криминалците се претставувале како алатката Microsoft Activation Scripts (MAS) за да шират PowerShell скрипти кои доставувале малверот Cosmali Loader.

Се препорачува да се избегнува користење на неофицијални активатори на софтверски продукти и, генерално, било кои Windows извршни фајлови кои не се дигитално потпишани и чиј извор или интегритет не може да се потврди.

Извори:

• Bleeping Computer – Hacker arrested for KMSAuto malware campaign with 2.8 million downloads Bleeping Computer