KingMiner挖礦木馬新變種再造恐慌，網(wǎng)絡(luò)黑產(chǎn)規(guī)模升級(jí)

KingMiner挖礦木馬自去年開(kāi)始活躍以來(lái)，通常使用暴力方式來(lái)攻擊MSSQL微軟服務(wù)器，以獲取攻擊服務(wù)器所需的憑據(jù)。一旦獲得訪問(wèn)權(quán)限后，便可實(shí)現(xiàn)在受害者的計(jì)算機(jī)上下載并執(zhí)行一系列挖礦腳本文件。而在近期，360安全大腦成功監(jiān)測(cè)到國(guó)內(nèi)團(tuán)伙對(duì)KingMiner挖礦木馬進(jìn)行了技術(shù)更新。短短不到一周時(shí)間，受攻擊服務(wù)器已達(dá)數(shù)千臺(tái)。

區(qū)別于以往暴力入侵用戶機(jī)器之后便開(kāi)始大挖特挖的野蠻行徑，該團(tuán)伙開(kāi)始有意識(shí)的維持現(xiàn)有肉雞的穩(wěn)定性，再度為木馬防護(hù)提出了新的挑戰(zhàn)。

更新之后的KingMiner挖礦木馬總體工作流程

不過(guò)廣大用戶無(wú)需擔(dān)心，360安全衛(wèi)士已支持針對(duì)該類(lèi)木馬的攔截查殺，建議廣大用戶及時(shí)下載安裝360安全衛(wèi)士保護(hù)電腦隱私及財(cái)產(chǎn)安全。

入侵設(shè)備方式多樣化，病毒內(nèi)核經(jīng)多層“外衣”包裹

從本次360安全大腦的監(jiān)測(cè)來(lái)看，升級(jí)的挖礦木馬成功入侵用戶設(shè)備之后，該作案團(tuán)伙通過(guò)SQL命令行下載執(zhí)行具有管理功能的VBS腳本，其將根據(jù)入侵設(shè)備是否曾經(jīng)遭受入侵而選擇更新相關(guān)工作模塊或者下載部署全新的KingMiner挖礦木馬。

從木馬拆解情況來(lái)看，通過(guò)2個(gè)URL下載得到的模塊功能是一致的，只是用于不同的系統(tǒng)版本。以32tl.zip來(lái)解析，通過(guò)對(duì)外層X(jué)ML的處理與base64的解剖后，便可得到真正的PE壓縮包文件。經(jīng)過(guò)解壓發(fā)現(xiàn)，這正是剛過(guò)去不久的CVE-2019-0803提權(quán)漏洞利用工具，成功利用此漏洞的攻擊者可以以系統(tǒng)最高權(quán)限運(yùn)行任意代碼，攻擊者可隨后安裝程序，查看、更改或刪除數(shù)據(jù)，甚至創(chuàng)建擁有完全用戶權(quán)限的新帳戶。由此可見(jiàn)，此次更新后KingMiner挖礦木馬的殺傷力不言而喻。

加持持久化模塊，KingMiner挖礦木馬堪比“永動(dòng)機(jī)”

另外，此次卷土重來(lái)的KingMiner挖礦木馬通過(guò)在持久化方面的積極進(jìn)化，成為了令人恐懼的“越級(jí)新變種”。其通過(guò)設(shè)置計(jì)劃任務(wù)的方式，定時(shí)下載執(zhí)行云端控制的腳本;并且作者為了長(zhǎng)期、穩(wěn)定、隱蔽的運(yùn)營(yíng)，采用了根據(jù)當(dāng)前系統(tǒng)時(shí)間生成和查詢域名“news.g32thr.com”進(jìn)行控制的兩種DGA(Domain Generation Algorithm域名生成算法)。并且DGA腳本被木馬寫(xiě)入了用戶的計(jì)劃任務(wù)中，設(shè)定每15分鐘執(zhí)行一次。

通過(guò)捕獲到的執(zhí)行腳本不難發(fā)現(xiàn)，具體代碼實(shí)現(xiàn)了3步操作：

1、首先檢測(cè)用戶是不是WIN7及以下的系統(tǒng)，如果是的話就繼續(xù)執(zhí)行。

2、然后檢查用戶有沒(méi)有安裝編號(hào)為“kb4499175、kb4500331、KB4499149、KB4499180、KB4499164”的系統(tǒng)補(bǔ)丁，如果沒(méi)有找到則執(zhí)行下一句。

3、關(guān)閉用戶的遠(yuǎn)程桌面功能。

從木馬作者通過(guò)主動(dòng)幫助用戶關(guān)閉遠(yuǎn)程桌面功能，以保證徹底杜絕漏洞危害的這一做法來(lái)看，作案團(tuán)伙已經(jīng)完成了從一心入侵肉雞到維持已有肉雞留存量的戰(zhàn)略轉(zhuǎn)變，顯然這種有意識(shí)的向技術(shù)縱深發(fā)展，并非我們所樂(lè)于見(jiàn)到的結(jié)果。

網(wǎng)絡(luò)黑產(chǎn)“野蠻生長(zhǎng)”，用戶網(wǎng)安意識(shí)亟待加強(qiáng)

值得一提的是，隨著今年比特幣重新煥發(fā)活力，與數(shù)字貨幣相關(guān)聯(lián)的挖礦木馬的態(tài)勢(shì)也再次呈現(xiàn)出，如同比特幣漲勢(shì)一般的指數(shù)級(jí)增長(zhǎng)。從本次卷土重來(lái)的KingMiner挖礦木馬事件中不難看出，作案團(tuán)伙也展現(xiàn)出了更為全面與多樣的作案能力。實(shí)際上，隨著社會(huì)進(jìn)入數(shù)字化時(shí)代，網(wǎng)絡(luò)黑產(chǎn)早已不再是散兵游勇式的單打獨(dú)斗，具有專業(yè)分工、鏈條化運(yùn)作特征的產(chǎn)業(yè)模式日趨完善。所以，面對(duì)日益猖獗、方法手段不斷翻新的網(wǎng)絡(luò)黑產(chǎn)，我們應(yīng)時(shí)刻加強(qiáng)網(wǎng)絡(luò)安全意識(shí)，努力提高自我防范能力。

因此360安全大腦建議廣大用戶做好以下防御措施，抵御挖礦木馬的侵害：

1、前往weishi.#下載安裝360安全衛(wèi)士，抵御各類(lèi)病毒木馬威脅;

2、及時(shí)使用360安全衛(wèi)士為系統(tǒng)安裝補(bǔ)丁，關(guān)閉不必要的端口和服務(wù);

3、發(fā)現(xiàn)電腦出現(xiàn)異常時(shí)，及時(shí)使用360安全衛(wèi)士進(jìn)行體檢掃描，查殺木馬病毒;

4、使用高強(qiáng)度的Windows登陸密碼、SSH登陸密碼、MsSQL數(shù)據(jù)庫(kù)密碼，避免遭遇弱口令爆破攻擊。

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。