Kryptokoparki rozprzestrzeniają się przez pozycjonowanie SEO i AI. Jak nie dać się złapać?
Nowa kampania kryptokoparek wykorzystuje fałszywe strony z narzędziami systemowymi oraz rekomendacje chatbotów. Microsoft ostrzega przed złośliwym oprogramowaniem, które instaluje zdalne sterowanie i koparki GPU.
Osoby poszukujące popularnych narzędzi systemowych, takich jak CrystalDiskInfo czy FurMark, mogą trafić na fałszywe strony. Złośliwe oprogramowanie do kopania kryptowalut rozprzestrzenia się za pomocą manipulacji wynikami wyszukiwania (SEO poisoning) oraz sugestii chatbotów AI. Microsoft opisał kampanię, która celuje w użytkowników posiadających wydajne komputery z mocnymi kartami graficznymi.
Jak działa atak? Oszustwo zaczyna się od wyszukiwarki
Jak wynika z analizy Microsoftu, atak rozpoczyna się, gdy użytkownik szuka jednego z popularnych narzędzi diagnostycznych lub sterowników. Linki do fałszywych witryn są sztucznie wypromowane w wynikach wyszukiwania. Co więcej, w kwietniu 2026 roku odnotowano przypadki, w których użytkownicy otrzymywali linki do szkodliwych domen bezpośrednio od asystentów AI. „Użytkownicy pytający chatboty AI o rekomendacje pobierania oprogramowania otrzymywali linki do domen kontrolowanych przez atakujących w generowanych odpowiedziach” – przekazuje Microsoft.
Oszuści podszywają się pod strony z legalnymi aplikacjami, takimi jak CrystalDiskInfo, HWMonitor, Display Driver Uninstaller, FurMark, K-Lite Codec Pack czy PDFgear. Każda z tych aplikacji jest często używana przez osoby z wydajnym sprzętem – graczy, twórców treści czy entuzjastów komputerowych. To właśnie ich komputery z mocnymi kartami graficznymi (GPU) są głównym celem atakujących.
Złośliwy pakiet – od DLL do zdalnego sterowania i koparki
Pobrany plik to archiwum ZIP zawierające legalny program oraz złośliwą bibliotekę DLL. Po uruchomieniu prawdziwego programu DLL jest automatycznie ładowany i instaluje za pomocą narzędzia msiexec.exe pakiet ScreenConnect – legalne narzędzie do zdalnego zarządzania. Atakujący uzyskuje w ten sposób trwały dostęp do maszyny ofiary.
Następnie zagrożenie pobiera kolejny komponent, który kopiuje się jako RuntimeHost.exe i ukrywa w folderze niewidocznym w Eksploratorze. „Plik wykonywalny ustanawia sześć mechanizmów trwałości w różnych lokalizacjach autostartu Windows” – opisują badacze. Aby pozostać niezauważonym, złośliwe oprogramowanie sprawdza, czy w systemie nie działają narzędzia analityczne lub maszyny wirtualne – jeśli tak, kończy działanie. Dodaje również swoje procesy do list wykluczeń Microsoft Defender.
Kluczowym elementem jest technika process hollowing – podmiana kodu w legalnym procesie systemowym. Atakujący używają do tego plików takich jak InstallUtil.exe czy MSBuild.exe, które są podpisane cyfrowo przez Microsoft. Dzięki temu koparka kryptowalut uruchamia się w zaufanym procesie, co utrudnia wykrycie.
Po ukryciu się w systemie pobierany jest jeden z trzech programów do kopania na GPU: gminer, lolMiner lub SRBMiner-MULTI. Microsoft zaznacza, że ta kampania wyróżnia się strategią skoncentrowaną na maksymalizacji wydajności wydobycia z jednego zainfekowanego urządzenia, a nie na dużej liczbie ofiar.
Jak się bronić przed kryptokoparkami?
Kampania pokazuje, że nawet sugestie chatbota AI nie są wiarygodnym źródłem linków. Oto kilka zasad, które pomogą uniknąć infekcji:
- Pobieraj oprogramowanie wyłącznie z oficjalnych stron producenta – unikaj pośredników i agregatorów, zwłaszcza tych promowanych w płatnych wynikach wyszukiwania.
- Sprawdzaj adres URL przed kliknięciem – domena gleeze[.]com została już wcześniej powiązana z phishingiem.
- Nie ufaj ślepo chatbotom AI – nawet jeśli asystent poda link, zweryfikuj go samodzielnie, wpisując adres ręcznie w przeglądarce.
- Monitoruj procesy i wykorzystanie zasobów – nagły wzrost obciążenia GPU lub procesora bez wyraźnego powodu może świadczyć o obecności koparki.
- Korzystaj z programu antywirusowego i włącz ochronę w czasie rzeczywistym. Warto również regularnie skanować system w poszukiwaniu nieznanych aplikacji.
Dodatkowym sygnałem ostrzegawczym jest instalacja narzędzia ScreenConnect bez wiedzy użytkownika. Jeśli zauważysz nieznane oprogramowanie do zdalnego pulpitu, natychmiast odłącz komputer od sieci i przeprowadź skanowanie antywirusowe.
Microsoft opublikował szczegółowy raport z wskaźnikami kompromitacji (IOC), które mogą pomóc administratorom w wykryciu zagrożenia w sieci firmowej.
Kampania ta pokazuje, że cyberprzestępcy łączą różne techniki – pozycjonowanie SEO, nadużywanie chatbotów i legalne narzędzia – by omijać zabezpieczenia. Świadomość tych metod i ostrożność przy pobieraniu oprogramowania to pierwsza linia obrony przed kryptokoparkami.
