Wat is Nvidia RTX-LHR v2 Unlocker en hoe werkt het?

Malware verspreiden via community phishing

Op 22 februari kreeg de cryptomining-gemeenschap een grootschalige waarschuwing voor nepnieuws te verwerken, waarin werd beweerd dat de LHR-functie van Nvidia ter voorkoming van mining met succes was omzeild. Dit bleek later malware te zijn en is wat we ‘community-phishing’ noemen. De hackers drongen door tot de online communityforums en andere mediakanalen en verspreidden malware onder valse beloften die inspeelden op de behoeften van de gemeenschap.

Dit type malware is een verzameling van "maltools" die gemakkelijk te vinden zijn en waarvoor minimale kennis nodig is om te werken. Een dergelijke campagne laat zien hoe eenvoudig het voor iedereen is om malware te maken die beveiligingsproducten ontwijkt en de doelen van de hacker bereikt.

PureCrypter en PurgeStealer behoren tot de kwaadaardige tools die de hackers hebben gebruikt om een malwareprogramma te ontwikkelen dat gegevens steelt, met ontwijkingsmechanismen op basis van C# en een breed scala aan verzamelde gegevens die via gofile.io en Discord naar buiten worden gesluisd.

Inleiding tot de aanval

Cryptocurrency werd populair in het afgelopen decennium en vormde een nieuwe manier om geldtransacties uit te voeren. Omdat cryptocurrency decentraal is ontworpen, is netwerkvalidatie nodig voor een transactie. Een bevestiging vereist meestal een grote rekenkracht om het algoritme voor een dergelijke validatie uit te voeren.

In 2020 bracht Nvidia de GeForce 30-serie op de markt, inclusief de RTX-functie waarmee deze serie het meest wordt geassocieerd. In het begin werden gamers en miners nog als één groep beschouwd. Later, in mei 2021, kondigde Nvidia de 30XX-serie Lite Hash Rate (LHR) aan om onderscheid te maken tussen producten die mining ondersteunen en producten die uitsluitend voor gaming zijn bedoeld. De reden hiervoor is waarschijnlijk van zakelijke aard: terwijl Nvidia aangeeft dat de GeForce-producten bedoeld zijn voor gamers, zouden miners de CMP-serie moeten gebruiken.

Op 23 februari brachten hackers een info stealer malware uit onder de vermomming van de Nvidia LHR v2 Unlocker tool. Natuurlijk was de gemeenschap van Ethereum miners die zo'n tool wensten het doelwit, maar ze trapten er niet in door hen krediet te geven. De dag ervoor publiceerden veel nieuwssites een artikel dat de hackers hielp hun malware te verspreiden, en kort daarna publiceerden ze een update die bevestigde dat het malware was.

De malware richtte zich op de portemonnees van mijnwerkers en alle andere tools die op een Etherium-mijnmachine werden aangetroffen. Er werden echter ook andere gegevens verzameld, zoals browsergegevens (wachtwoorden, geschiedenis en cookies).

Tijdlijn

De aanval was beknopt en stopte een paar uur later zonder duidelijke reden. Het zou een bug kunnen zijn geweest, of de aanvaller was bang om gepakt te worden, en het zou de reden kunnen zijn dat het phishing-doelwit op de hoogte was van de dreiging en deze verijdelde.

Ik heb het gebruik van de PurgeStealer opgemerkt vanwege de korte tijd tussen de release en het moment dat de aanvaller de campagne start. Een ander toeval met betrekking tot de Nvidia LHR was dat de Lapsus$ groep Nvidia hackte en hun IP stal. Met dit IP en andere privégegevens konden ze de LHR hacken en proberen te verkopen voor $1 miljoen.

Aanval vector

1. T1566 – Het begint met wat wij ‘community-phishing’ noemen, omdat de aanvaller een valse weergave van een gewild of intrigerend item creëert en de gebruikers vraagt dit uit te voeren.
2. T1059.001 – De installateur start vanuit het installatieprogramma een PowerShell-sessie met verhoogde rechten.
3. T1620 – Het eerste uitvoerbare dropper-bestand maakt gebruik van het laden van reflecterende code om in het geheugen te worden uitgevoerd, waardoor het schrijven naar de schijf wordt vermeden en bepaalde beveiligingsproducten worden omzeild.
4. T1218.009 – De tweede dropper is sterk versleuteld en maakt gebruik van anti-debug-, anti-reverse- en ontwijkingstechnieken. Uiteindelijk gebruikt hij RegAsm.exe als proxy om de malware voor het stelen van gegevens uit te voeren.
5. T1567.002 – De malware maakt gebruik van de webopslagdienst Gofile.io om de gestolen gegevens naar buiten te smokkelen, zonder dat de kans kleiner wordt om door beveiligingsproducten voor netwerkmonitoring te worden opgemerkt.
6. Aangenomen wordt dat het primaire doel van de aanvaller cryptowallets zijn, en de zeer gerichte gebruikers kunnen dit opleveren.

Conclusies

Ik heb besloten om deze aanval "Community Phishing" te noemen, omdat het de phishing-techniek gebruikt om gebruikers programma's of bestanden op hun machine te laten uitvoeren onder de indruk van een legitiem bestand, en de community-kanalen als medium te gebruiken. De aanvaller begrijpt de behoeften van de potentiële slachtoffers en buit deze uit om malware te leveren. En door zich te richten op een gemeenschap, is de kans groot dat verschillende aannames de impact van de aanval vergroten: de slachtoffers zijn eigenaren van Nvidia RTX grafische kaarten en ze zijn geïnteresseerd in Ethereum mining.

Er is meer dan één manier om voordeel te halen uit het infecteren van dergelijke specifieke machines. De malware zou bijvoorbeeld een mijnwerker kunnen zijn en er baat bij hebben om op krachtige apparaten te draaien. Een andere manier zouden meer hardware-gerelateerde aanvallen kunnen zijn die gebruik maken van kwetsbaarheden in de Nvidia-stuurprogramma's en de controle over het systeem overnemen op een meer hardnekkige en heimelijke manier.

Ongeacht het doel van de aanval, was het probleem met deze specifieke aanval het gemak waarmee deze plaatsvond - iedereen kan malware maken met behulp van maltools. Maltools zijn overal te vinden, ze zijn behoorlijk betrouwbaar en eenvoudig, en dankzij cryptocurrency kunnen criminelen het anoniem kopen.

Phishing is de meest voorkomende techniek voor het afleveren van malware, en we zien dat er meer manieren zijn dan de traditionele e-mail phishing om het uit te voeren. Bij Datto zijn we gespecialiseerd in detectie en preventie van initiële vectoren, waaronder phishing-aanvallen. We willen u eraan herinneren nooit iets te vertrouwen dat ongevraagd bij u wordt afgeleverd. Controleer altijd de bron en blijf virtueel veilig.