Lemon Duck - Anther Look at the Stubborn Cryptominer

Lemon Duck är en kryptomining-skadlig kod som har funnits i en kupé i år nu. Det upptäcktes först av säkerhetsforskare sommaren 2019 för drygt två år sedan och har sedan dess använts i flera fokuserade kampanjer.

Forskare med Microsoft har släppt en uppdaterad undersökning av Lemon Duck-kryptominer, som beskriver några nyfikna trender i dess utveckling.

Lemon Duck kan krypa och ta över både Windows- och Linux-baserade nätverk. Det har dock några funktioner som gör det lite av ett speciellt fall bland andra krypto-malware.

Medan de flesta skadliga program helt enkelt gör sitt bästa för att undvika upptäckt går Lemon Duck utöver det. Det stänger inte bara av anti-malware och säkerhetsprogramvara på de komprometterade systemen, det kan faktiskt utrota andra konkurrerande malware, till och med tillämpa sårbarhetsplåster för att säkerställa att systemet förblir rent från andra konkurrerande malware.

Tricket med att lappa sårbarheter säkerställer inte bara ett obestridd utrymme för Lemon Duck i nätverket. Det har den ytterligare effekten att det försenar mänsklig utredning, eftersom ett företag eller nätverk först kan rikta sin uppmärksamhet på enheter som fortfarande saknar korrigeringar.

Ett exempel på att Lemon Duck dyker upp i sina egna fotspår är en attack med skadlig programvara i nätverk som kör Microsoft Exchange Server. Efter att ha missbrukat buggar för att infiltrera nätverket användes Lemon Duck för att senare lappa de fel som den brukade infiltrera i första hand. För att toppa allt använde hotaktörerna bakom den här kampanjen Microsofts eget lindringsverktyg för att lappa buggarna.

Dessutom använder File Duck fillösa tekniker och direktminne- och processinjektioner, så upptäckten hindras ytterligare.

Allt detta kombinerat gör File Duck särskilt knepigt att spåra och ta bort när den väl har hittat sig i ett nätverk. När det gäller serverplattformar som har tillräckligt med resurskostnader kan det hända att skadlig programvaras resursavlopp inte blir alltför märkbar omedelbart och det kan fortsätta att fungera obehindrat under längre perioder.