El departamento de amenazas de Avast, Avast Threat Labs, acaba de publicar una investigación sobre Crackonosh, un malware que se ha detectado en versiones «crackeadas» de algunos de los principales videojuegos del mercado.

Crackonosh es un malware de criptominería que lleva circulando desde el mes de junio de 2018 y que ha proporcionado a sus autores más de 2.000.000 dólares de beneficio recaudado a través de la criptomoneda Monero, desde más de 222.000 sistemas infectados en todo el mundo.

Crackonosh se instala reemplazando archivos críticos del sistema de Windows y abusando del modo seguro.

Crackonosh se protege a sí mismo desactivando el software de seguridad y las actualizaciones y utiliza otras técnicas anti-análisis. Éstos hacen que sea difícil de descubrir, detectar y eliminar.

Se ha descubierto que los usuarios más afectados por Crackonosh se encuentran en Estados Unidos, Brasil, India, Filipinas y Polonia. También se han encontrado numerosos incidentes en el Reino Unido, Francia, Italia y Canadá, además de España, México, Argentina, Portugal, Australia, Sudáfrica, Grecia, Suecia, Turquía, Pakistán e Indonesia.

Crackonosh ha sido descubierto en versiones crackeadas del NBA 2K19, Grand Theft Auto V, Far Cry 5, Los Sims 4 Seasons, Euro Truck Simulator 2, Los Sims 4, Jurassic World Evolution, Fallout 4 GOTY, Call of Cthulhu, Pro Evolution Soccer 2018, y We Happy Few.

Como siempre decimos instalar versiones crackeadas tanto de juegos como programas tiene un riesgo muy alto tanto por el poder meterte virus como malware en tu ordenadores. Una práctica nada aconsejable. Siempre recomendamos el software original para evitar estos riesgos.

Si os resulta interesante y queréis conocer más información acerca de la investigación llevada a cabo por Avast, podéis consultar el post de su blog que acaba de ser publicado.

Eliminación de Crackonosh

Según nuestro análisis, los siguientes pasos eliminarán Craconosh.

Eliminar tareas (programadores de tareas)

• Microsoft\Windows\Maintenance\InstallWinSAT
• Microsoft\Windows\Application Experience\StartupCheckLibrary
• Microsoft\Windows\WDI\SrvHost\
• Microsoft\Windows\Wininet\Winlogui\
• Microsoft\Windows\Windows Error Reporting\winrmsrv\

Eliminar en c:\\Windows\system32\

• 7B296FC0-376B-497d-B013-58F4D9633A22-5P-1.B5841A4C-A289-439d-8115-50AB69CD450
• 7B296FC0-376B-497d-B013-58F4D9633A22-5P-1.B5841A4C-A289-439d-8115-50AB69CD450B
• diskdriver.exe
• maintenance.vbs
• serviceinstaller.exe
• serviceinstaller.msi
• startupcheck.vbs
• startupchecklibrary.dll
• windfn.exe
• winlogui.exe
• winrmsrv.exe
• winscomrssrv.dll
• wksprtcli.dll

Eliminar en C:\Documents and Settings\All Users\Local Settings\Application Data\Programs\Common( %localappdata%\Programs\Common)

• UserAccountControlSettingsDevice.dat

Eliminar en c:\Program Files\Windows Defender\

• MSASCuiL.exe

Eliminar en el registro de Windows ( regedit.exe)

• HKLM\SOFTWARE\Policies\Microsoft\Windows Defender valor DisableAntiSpyware
• HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection valor DisableBehaviorMonitoring
• HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection valor DisableOnAccessProtection
• HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection valor DisableScanOnRealtimeEnable
• HKLM\SOFTWARE\Microsoft\Security Center valor AntiVirusDisableNotify
• HKLM\SOFTWARE\Microsoft\Security Center valor FirewallDisableNotify
• HKLM\SOFTWARE\Microsoft\Security Center valor UpdatesDisableNotify
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer valor HideSCAHealth
• HKLM\SOFTWARE\Microsoft\Windows Defender\Reporting valor DisableEnhancedNotifications
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run valor winlogui

Restaurar el registro de servicios de Windows predeterminado (depende de la versión del sistema operativo https://www.tenforums.com/tutorials/57567-restore-default-services-windows-10-a.html )

• wuauserv
• SecurityHealthService
• WinDefend
• Sentido
• MsMpSvc

Vuelva a instalar Windows Defender y cualquier software de seguridad de terceros, si se instaló alguno.

. Leer artículo completo en Frikipandi Crackonosh ha sido descubierto en versiones crackeadas de videojuegos.