KingMiner挖礦木馬新變種再造恐慌，網(wǎng)絡(luò)黑產(chǎn)規(guī)模升級

KingMiner挖礦木馬自去年開始活躍以來，通常使用暴力方式來攻擊MSSQL微軟服務(wù)器，以獲取攻擊服務(wù)器所需的憑據(jù)。一旦獲得訪問權(quán)限后，便可實現(xiàn)在受害者的計算機(jī)上下載并執(zhí)行一系列挖礦腳本文件。而在近期，360安全大腦成功監(jiān)測到國內(nèi)團(tuán)伙對KingMiner挖礦木馬進(jìn)行了技術(shù)更新。短短不到一周時間，受攻擊服務(wù)器已達(dá)數(shù)千臺。

區(qū)別于以往暴力入侵用戶機(jī)器之后便開始大挖特挖的野蠻行徑，該團(tuán)伙開始有意識的維持現(xiàn)有肉雞的穩(wěn)定性，再度為木馬防護(hù)提出了新的挑戰(zhàn)。

更新之后的KingMiner挖礦木馬總體工作流程

不過廣大用戶無需擔(dān)心，360安全衛(wèi)士已支持針對該類木馬的攔截查殺，建議廣大用戶及時下載安裝360安全衛(wèi)士保護(hù)電腦隱私及財產(chǎn)安全。

入侵設(shè)備方式多樣化，病毒內(nèi)核經(jīng)多層“外衣”包裹

從本次360安全大腦的監(jiān)測來看，升級的挖礦木馬成功入侵用戶設(shè)備之后，該作案團(tuán)伙通過SQL命令行下載執(zhí)行具有管理功能的VBS腳本，其將根據(jù)入侵設(shè)備是否曾經(jīng)遭受入侵而選擇更新相關(guān)工作模塊或者下載部署全新的KingMiner挖礦木馬。

從木馬拆解情況來看，通過2個URL下載得到的模塊功能是一致的，只是用于不同的系統(tǒng)版本。以32tl.zip來解析，通過對外層XML的處理與base64的解剖后，便可得到真正的PE壓縮包文件。經(jīng)過解壓發(fā)現(xiàn)，這正是剛過去不久的CVE-2019-0803提權(quán)漏洞利用工具，成功利用此漏洞的攻擊者可以以系統(tǒng)最高權(quán)限運行任意代碼，攻擊者可隨后安裝程序，查看、更改或刪除數(shù)據(jù)，甚至創(chuàng)建擁有完全用戶權(quán)限的新帳戶。由此可見，此次更新后KingMiner挖礦木馬的殺傷力不言而喻。

加持持久化模塊，KingMiner挖礦木馬堪比“永動機(jī)”

另外，此次卷土重來的KingMiner挖礦木馬通過在持久化方面的積極進(jìn)化，成為了令人恐懼的“越級新變種”。其通過設(shè)置計劃任務(wù)的方式，定時下載執(zhí)行云端控制的腳本;并且作者為了長期、穩(wěn)定、隱蔽的運營，采用了根據(jù)當(dāng)前系統(tǒng)時間生成和查詢域名“news.g32thr.com”進(jìn)行控制的兩種DGA(Domain Generation Algorithm域名生成算法)。并且DGA腳本被木馬寫入了用戶的計劃任務(wù)中，設(shè)定每15分鐘執(zhí)行一次。

通過捕獲到的執(zhí)行腳本不難發(fā)現(xiàn)，具體代碼實現(xiàn)了3步操作：

1、首先檢測用戶是不是WIN7及以下的系統(tǒng)，如果是的話就繼續(xù)執(zhí)行。

2、然后檢查用戶有沒有安裝編號為“kb4499175、kb4500331、KB4499149、KB4499180、KB4499164”的系統(tǒng)補(bǔ)丁，如果沒有找到則執(zhí)行下一句。

3、關(guān)閉用戶的遠(yuǎn)程桌面功能。

從木馬作者通過主動幫助用戶關(guān)閉遠(yuǎn)程桌面功能，以保證徹底杜絕漏洞危害的這一做法來看，作案團(tuán)伙已經(jīng)完成了從一心入侵肉雞到維持已有肉雞留存量的戰(zhàn)略轉(zhuǎn)變，顯然這種有意識的向技術(shù)縱深發(fā)展，并非我們所樂于見到的結(jié)果。

網(wǎng)絡(luò)黑產(chǎn)“野蠻生長”，用戶網(wǎng)安意識亟待加強(qiáng)

值得一提的是，隨著今年比特幣重新煥發(fā)活力，與數(shù)字貨幣相關(guān)聯(lián)的挖礦木馬的態(tài)勢也再次呈現(xiàn)出，如同比特幣漲勢一般的指數(shù)級增長。從本次卷土重來的KingMiner挖礦木馬事件中不難看出，作案團(tuán)伙也展現(xiàn)出了更為全面與多樣的作案能力。實際上，隨著社會進(jìn)入數(shù)字化時代，網(wǎng)絡(luò)黑產(chǎn)早已不再是散兵游勇式的單打獨斗，具有專業(yè)分工、鏈條化運作特征的產(chǎn)業(yè)模式日趨完善。所以，面對日益猖獗、方法手段不斷翻新的網(wǎng)絡(luò)黑產(chǎn)，我們應(yīng)時刻加強(qiáng)網(wǎng)絡(luò)安全意識，努力提高自我防范能力。

因此360安全大腦建議廣大用戶做好以下防御措施，抵御挖礦木馬的侵害：

1、前往weishi.#下載安裝360安全衛(wèi)士，抵御各類病毒木馬威脅;

2、及時使用360安全衛(wèi)士為系統(tǒng)安裝補(bǔ)丁，關(guān)閉不必要的端口和服務(wù);

3、發(fā)現(xiàn)電腦出現(xiàn)異常時，及時使用360安全衛(wèi)士進(jìn)行體檢掃描，查殺木馬病毒;

4、使用高強(qiáng)度的Windows登陸密碼、SSH登陸密碼、MsSQL數(shù)據(jù)庫密碼，避免遭遇弱口令爆破攻擊。

生成海報

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請進(jìn)一步核實，并對任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。