Was ist der Nvidia RTX-LHR v2 Unlocker und wie funktioniert er?

Verbreitung von Malware durch Community-Phishing

Am 22. Februar wurde die Krypto-Mining-Community mit einer massiven Falschmeldung konfrontiert, in der behauptet wurde, die Nvidia-LHR-Funktion zur Verhinderung des Minings erfolgreich umgangen zu haben. Später stellte sich heraus, dass es sich dabei um Malware handelte – ein Phänomen, das wir als „Community-Phishing“ bezeichnen. Die Hacker drangen in die Online-Community-Foren und andere Medienkanäle ein und verbreiteten Malware unter falschen Versprechungen, die auf die Bedürfnisse der Community zugeschnitten waren.

Bei dieser Art von Malware handelt es sich um eine Zusammenstellung von "Maltools", die leicht zu finden sind und nur minimale Kenntnisse zur Bedienung erfordern. Eine solche Kampagne zeigt uns, wie einfach es für jeden ist, Malware zu erstellen, die Sicherheitsprodukte umgeht und die Ziele des Hackers erreicht.

PureCrypter und PurgeStealer gehören zu den Malware-Tools, die die Hacker zur Erstellung einer Info-Stealer-Malware verwendet haben. Diese verfügt über Umgehungsfunktionen in C# und sammelt eine Vielzahl von Daten, die über gofile.io und Discord exfiltriert werden.

Einführung in den Angriff

Kryptowährungen wurden im letzten Jahrzehnt populär und bildeten einen neuen Weg, um Geldtransaktionen durchzuführen. Da Kryptowährungen von vornherein dezentralisiert sind, erfordern sie eine Netzwerkvalidierung für eine Transaktion. Eine Bestätigung erfordert in der Regel eine hohe Rechenleistung, um den Algorithmus für eine solche Validierung auszuführen.

Im Jahr 2020 brachte Nvidia die GeForce-30-Serie auf den Markt, einschließlich der RTX-Funktion, mit der sie am engsten verbunden ist. Zu Beginn wurden Gamer und Miner als eine Gruppe betrachtet. Später kündigte Nvidia im Mai 2021 die 30XX-Serie mit Lite Hash Rate (LHR) an, um zwischen Produkten zu unterscheiden, die Mining unterstützen, und solchen, die ausschließlich für Gaming gedacht sind. Der Grund dafür ist wahrscheinlich geschäftlicher Natur: Während Nvidia erklärt, die GeForce-Produkte den Gamern zur Verfügung stellen zu wollen, sollen Miner die CMP-Serie nutzen.

Am 23. Februar veröffentlichten Hacker eine Info-Stealer-Malware unter dem Deckmantel des Nvidia LHR v2 Unlocker-Tools. Natürlich war die Gemeinschaft der Ethereum-Miner, die ein solches Tool wünschten, das Ziel, aber sie fielen nicht darauf herein, indem sie ihnen Kredit gaben. Am Vortag veröffentlichten viele Nachrichtenseiten einen Artikel, der den Hackern half, ihre Malware zu verbreiten, und kurz darauf veröffentlichten sie ein Update, das bestätigte, dass es sich um Malware handelte.

Die Malware zielte auf die Geldbörsen der Miner und alle anderen Tools, die auf einem Etherium-Miner-Rechner gefunden wurden. Es wurden jedoch auch andere Daten gesammelt, z. B. Browserdaten (Passwörter, Verlauf und Cookies).

Zeitleiste

Der Angriff war präzise und wurde ein paar Stunden später ohne ersichtlichen Grund gestoppt. Es könnte sich um einen Fehler gehandelt haben oder der Angreifer hatte Angst, erwischt zu werden, und das könnte der Grund dafür sein, dass das Phishing-Ziel die Bedrohung erkannte und abwehrte.

Ich habe die Verwendung des PurgeStealers aufgrund der kurzen Zeitspanne zwischen der Veröffentlichung und dem Start der Kampagne durch den Angreifer bemerkt. Ein weiterer Zufall im Zusammenhang mit dem Nvidia LHR war, dass die Lapsus$-Gruppe Nvidia hackte und deren IP stahl. Mit dieser IP und anderen privaten Daten konnten sie den LHR hacken und versuchen, ihn für 1 Million Dollar zu verkaufen.

Angriffsvektor

1. T1566 – Es beginnt mit sogenanntem „Community-Phishing“, da der Angreifer eine gefälschte Darstellung eines begehrten oder interessanten Objekts erstellt und die Nutzer auffordert, diese auszuführen.
2. T1059.001 – Der Installateur führt eine PowerShell-Instanz mit erhöhten Rechten aus dem Installationsprogramm heraus aus.
3. T1620 – Die erste ausführbare Dropper-Datei nutzt das Laden von reflektiertem Code, um im Speicher ausgeführt zu werden, ohne auf die Festplatte zu schreiben, und so bestimmten Sicherheitsprodukten zu entgehen.
4. T1218.009 – Der zweite Dropper ist stark verschleiert und nutzt Anti-Debugging-, Anti-Reverse- sowie Tarntechniken. Schließlich nutzt er RegAsm.exe als Proxy, um die Info-Stealer-Malware auszuführen.
5. T1567.002 – Die Malware nutzt den Webspeicherdienst Gofile.io aus, um die gestohlenen Daten zu exfiltrieren, ohne dabei das Risiko zu verringern, von Sicherheitsprodukten zur Netzwerküberwachung entdeckt zu werden.
6. Es wird davon ausgegangen, dass das primäre Ziel des Angreifers Krypto-Brieftaschen sind, und die sehr gezielten Benutzer können es liefern.

Schlussfolgerungen

Ich habe mich entschlossen, diesen Angriff "Community Phishing" zu nennen, da er die Phishing-Technik verwendet, Benutzer dazu zu bringen, Programme oder Dateien auf ihrem Computer unter dem Eindruck einer legitimen Datei auszuführen, und dabei die Community-Kanäle als Medium zu nutzen. Der Angreifer kennt die Bedürfnisse der potenziellen Opfer und nutzt sie zur Verbreitung von Malware aus. Da er sich an eine Community wendet, ist es sehr wahrscheinlich, dass mehrere Annahmen die Wirkung des Angriffs verstärken: Die Opfer sind Besitzer von Nvidia RTX-Grafikkarten und interessieren sich für Ethereum-Mining.

Es gibt mehr als eine Möglichkeit, von der Infizierung solcher speziellen Rechner zu profitieren. Bei der Malware könnte es sich beispielsweise um einen Miner handeln, der von der Ausführung auf leistungsstarken Geräten profitiert. Eine andere Möglichkeit sind eher hardwarebezogene Angriffe, die Schwachstellen in den Nvidia-Treibern ausnutzen und die Kontrolle über das System auf eine hartnäckigere und unauffälligere Weise übernehmen können.

Unabhängig vom Ziel des Angriffs war das Problem bei diesem speziellen Angriff die Leichtigkeit, mit der er durchgeführt wurde - jeder kann Malware mit Maltools erstellen. Maltools sind überall zu finden, sie sind ziemlich zuverlässig und unkompliziert, und dank der Kryptowährung können Kriminelle sie anonym kaufen.

Phishing ist die am weitesten verbreitete Technik zur Verbreitung von Malware, und wir sehen, dass es mehr Möglichkeiten als das traditionelle E-Mail-Phishing gibt, um sie auszuführen. Wir bei Datto haben uns auf die Erkennung und Verhinderung von Angriffen spezialisiert, einschließlich Phishing-Angriffen. Wir möchten Sie daran erinnern, dass Sie niemals etwas glauben sollten, das Ihnen ungefragt zugesandt wird. Überprüfen Sie immer die Quelle, und bleiben Sie praktisch sicher.