Исследовательская лаборатория Alien Labs от компании AT&T, провела изучение того, как работает майнер криптовалюты Monero на почтовых серверах. Отчет Фернандо Домингеса подробно описывает, как всего один майнер заражает и распространяется по серверам Exim, Confluence и WebLogic. По данным ZDNet, серверы Exim представляют более половины всех почтовых серверов.
Майнер не имеет названия, но у него есть несколько интересных особенностей. Во-первых, когда троян заражает систему, то сразу уничтожает конкурирующие майнеры, если таковые обнаруживаются. Причина для этого проста — чем больше ресурсов у одного процесса, тем меньше остается другим. Затем троян загружает майнер, основанный на популярном скрытом майнере XMRig. Кроме этого троян противостоит попыткам уничтожения и не дает отключить систему. Он может даже автоматически обновляться на новые версии.
По словам Alien Labs, модифицированный майнер ведет свою деятельность через прокси-сервер. Это делает отслеживание намайненых средств или даже определение адреса кошелька практически невозможным.
Alien Labs начала следить за трояном в июне 2019 года. Исследователи не знают, насколько широко распространен этот безымянный майнер и они не могут посчитать, сколько денег он принес своим создателям.