搜索

[12866] 2018-06-24_高能预警！警惕EnMiner挖矿大开杀戒

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2018-06-24_高能预警！警惕EnMiner挖矿大开杀戒 高 能 预 警 ！ 警 惕 E n M i n e r 挖 矿 大 开 杀 戒 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 8 - 0 6 - 2 4 近 日 ， 深 信 服 发 现 一 种 具 有 高 强 度 病 毒 对 抗 行 为 的 新 型 的 挖 矿 病 毒 ， 其 病 毒 机 制 与 常 规 挖 矿 相 差 较 大 ， 一 旦 感 近 日 ， 深 信 服 发 现 一 种 具 有 高 强 度 病 毒 对 抗 行 为 的 新 型 的 挖 矿 病 毒 ， 其 病 毒 机 制 与 常 规 挖 矿 相 差 较 大 ， 一 旦 感 染 上 ， 清 理 难 度 极 大 。 目 前 该 病 毒 处 于 爆 发 初 期 ， 深 信 服 已 将 此 病 毒 命 名 为 染 上 ， 清 理 难 度 极 大 。 目 前 该 病 毒 处 于 爆 发 初 期 ， 深 信 服 已 将 此 病 毒 命 名 为 E n M i n e r 挖 矿 病 毒 ， 并 将 持 续 追 踪 挖 矿 病 毒 ， 并 将 持 续 追 踪 其 发 展 状 况 并 制 定 详 细 的 应 对 措 施 。 其 发 展 状 况 并 制 定 详 细 的 应 对 措 施 。 此 E n M i n e r 病 毒 ， 是 目 前 遇 到 的 “ 杀 气 ” 最 重 的 挖 矿 病 毒 ， 具 有 高 强 度 的 病 毒 对 抗 行 为 ， 堪 称 “ 七 反 五 杀 ” 。 能 够 反 沙 箱 、 反 调 试 、 反 行 为 监 控 、 反 网 络 监 控 、 反 汇 编 、 反 文 件 分 析 、 反 安 全 分 析 的 同 时 杀 服 务 、 杀 计 划 任 务 、 杀 病 毒 、 杀 同 类 似 挖 矿 甚 至 存 在 自 杀 的 最 大 程 度 反 抗 分 析 行 为 ！           病 毒 分 析 病 毒 分 析 攻 击 场 景 攻 击 场 景 E n M i n e r 病 毒 攻 击 ， 可 谓 有 备 而 来 ， 在 干 掉 异 己 、 对 抗 分 析 上 做 足 了 功 夫 。 如 上 图 ， l s a s s . e X e 为 挖 矿 病 毒 体 （ C ： W i n d o w s t e m p 目 录 下 ） ， 负 责 挖 矿 功 能 。 P o w e r s h e l l 脚 本 是 b a s e 6 4 加 密 的 ， 存 在 于 W M I 中 ， 有 M a i n 、 K i l l e r 、 S t a r t M i n e r 三 个 模 块 。 M a i n 模 块 负 责 启 动 ， K i l l e r 负 责 杀 服 务 、 杀 进 程 ， S t a r t M i n e r 负 责 启 动 挖 矿 ， 当 挖 矿 文 件 l s a s s . e X e 不 存 在 时 ， 会 从 W M I 中 B a s e 6 4 解 码 重 新 生 成 ， 以 执 行 挖 矿 。 具 体 如 下 ： 首 先 ， 存 在 异 常 W M I 项 在 定 时 启 动 P o w e r S h e l l ， 根 据 W Q L 语 句 ， 为 1 小 时 自 动 触 发 一 次 。 判 断 是 否 存 在 l s a s s . e X e 这 个 文 件 ， 如 果 不 存 在 ， 会 读 取 W M I 中 r o o t c i m v 2 : P o w e r S h e l l _ C o m m a n d 类 中 的 E n M i n e r 属 性 ， 并 进 行 B a s e 6 4 解 码 写 入 l s a s s . e X e 。
所 有 流 程 执 行 完 后 ， 就 开 始 挖 矿 。 高 级 对 抗 高 级 对 抗 挖 矿 病 毒 体 l s a s s . e X e 本 身 除 了 有 挖 矿 功 能 ， 还 具 有 高 级 对 抗 行 为 ， 即 千 方 百 计 阻 止 安 全 软 件 或 者 安 全 人 员 对 其 进 行 分 析 。 l s a s s . e X e 会 创 建 一 个 线 程 ， 进 行 强 对 抗 操 作 ， 如 下 ： 遍 历 进 程 ， 发 现 有 相 关 进 程 （ 譬 如 发 现 S b i e S v c . e x e 这 个 沙 箱 进 程 ） 则 结 束 自 身 ： 相 应 的 反 汇 编 代 码 如 下 ：
总 结 其 有 “ 七 反 ” 操 作 ， 即 当 有 以 下 安 全 分 析 工 具 或 进 程 时 ， 会 自 动 退 出 ， 阻 止 被 沙 盒 环 境 或 安 全 人 员 分 析 。 第 一 反 ： 反 沙 箱 第 一 反 ： 反 沙 箱 反 沙 箱 文 件 ： 第 二 反 ： 反 调 试 第 二 反 ： 反 调 试 反 调 试 文 件 ： 第 三 反 ： 反 行 为 监 控 第 三 反 ： 反 行 为 监 控 反 行 为 监 控 文 件 ：
第 四 反 ： 反 网 络 监 控 第 四 反 ： 反 网 络 监 控 反 网 络 监 控 文 件 ： 第 五 反 ： 反 汇 编 第 五 反 ： 反 汇 编 反 汇 编 文 件 ： 第 六 反 ： 反 文 件 分 析 第 六 反 ： 反 文 件 分 析 反 文 件 分 析 文 件 ： 第 七 反 ： 反 安 全 分 析 第 七 反 ： 反 安 全 分 析 反 安 全 分 析 软 件 ： 大 开 杀 戒 大 开 杀 戒 E n M i n e r 挖 矿 为 了 实 现 利 益 最 大 化 ， 执 行 了 “ 五 杀 ” （ P e n t a K i l l ） 操 作 。 第 一 杀 ： 杀 服 务 第 一 杀 ： 杀 服 务 碍 事 的 服 务 进 程 都 杀 掉 （ 所 有 杀 操 作 都 在 K i l l e r 模 块 进 行 ） 。
第 二 杀 ： 杀 计 划 任 务 第 二 杀 ： 杀 计 划 任 务 各 种 计 划 任 务 ， 浪 费 系 统 资 源 （ 挖 矿 最 关 心 的 C P U 资 源 ） ， 都 会 被 杀 掉 。 第 三 杀 ： 杀 病 毒 第 三 杀 ： 杀 病 毒 E n M i n e r 有 杀 病 毒 功 能 。 是 为 了 做 善 事 ？ 当 然 不 是 ， 像 W a n n a C r y 2 . 0 , W a n n a C r y 2 . 1 会 导 致 蓝 屏 、 勒 索 的 ， 肯 定 影 响 E n M i n e r 挖 矿 了 ， 都 会 被 杀 掉 。 再 如 B i l l G a t e s   D D o S 病 毒 ， 其 具 有 D D o S 功 能 ， 肯 定 也 影 响 E n M i n e r 挖 矿 了 ， 通 通 干 掉 。 第 四 杀 ： 杀 同 行 第 四 杀 ： 杀 同 行 同 行 是 冤 家 ， 一 机 不 容 二 矿 ， E n M i n e r 不 允 许 别 人 跟 它 抢 “ 挖 矿 ” 这 单 生 意 。 各 种 市 面 上 的 挖 矿 病 毒 ， 遇 到 一 个 杀 掉 一 个 。
为 了 保 证 同 行 彻 底 死 掉 ， 还 额 外 通 过 端 口 进 行 杀 进 程 （ 挖 矿 常 用 端 口 ） 。 第 五 杀 ： 自 杀 第 五 杀 ： 自 杀 前 文 有 讲 到 ， 当 E n M i n e r 发 现 有 相 关 的 安 全 分 析 工 具 时 ， 就 会 退 出 ， 即 自 杀 ， 这 是 最 大 程 度 的 反 抗 分 析 行 为 。 躺 着 挖 矿 躺 着 挖 矿 进 行 了 “ 七 反 五 杀 ” 操 作 的 E n M i n e r 挖 矿 再 无 竞 争 者 ， 基 本 上 是 躺 着 挖 矿 了 。 此 外 ， 挖 矿 病 毒 体 l s a s s . e X e 可 以 从 W M I 里 面 通 过 B a s e 6 4 解 码 重 新 生 成 。 这 意 味 着 如 果 杀 软 仅 仅 只 杀 掉 l s a s s . e X e ， 则 W M I 每 隔 1 小 时 后 又 会 重 新 生 成 ， 又 可 以 躺 着 挖 矿 。 截 至 目 前 ， 该 病 毒 已 挖 有 门 罗 币 ， 目 前 该 病 毒 处 于 爆 发 初 期 ， 深 信 服 提 醒 广 大 用 户 加 强 防 范 。
解 决 方 案 解 决 方 案 1 、 隔 离 感 染 主 机 ： 已 中 毒 计 算 机 尽 快 隔 离 ， 关 闭 所 有 网 络 连 接 ， 禁 用 网 卡 。 2 、 确 认 感 染 数 量 ： 推 荐 使 用 深 信 服 下 一 代 防 火 墙 或 者 安 全 感 知 平 台 进 行 全 网 确 认 。 3 、 删 除 W M I 异 常 启 动 项 ： 使 用 A u t o r u n s 工 具 （ 下 载 链 接 为 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s y s i n t e r n a l s / d o w n l o a d s / a u t o r u n s ） ， 找 到 异 常 的 W M I 启 动 项 ， 并 删 除 。 4 、 查 杀 病 毒 5 、 修 补 漏 洞 ： 系 统 若 存 在 漏 洞 ， 及 时 打 补 丁 ， 避 免 被 病 毒 利 用 。 6 、 修 改 密 码 ： 如 果 主 机 账 号 密 码 比 较 弱 ， 建 议 重 置 高 强 度 的 密 码 ， 避 免 被 爆 破 利 用 。 * 本 文 作 者 ： 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理