搜索

[13559] 2018-12-21_还在用工具激活系统？小心被当做矿机！

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-12-21_还在用工具激活系统？小心被当做矿机！ 还 在 用 工 具 激 活 系 统 ？ 小 心 被 当 做 矿 机 ！ 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 8 - 1 2 - 2 1 一 、 现 象 描 述 一 、 现 象 描 述 近 日 ， 深 信 服 近 日 ， 深 信 服 E D R 安 全 团 队 捕 获 到 一 个 伪 装 成 激 活 软 件 安 全 团 队 捕 获 到 一 个 伪 装 成 激 活 软 件 W i n d o w s L o a d e r 的 病 毒 样 本 。 经 分 析 ， 该 样 本 并 没 有 激 的 病 毒 样 本 。 经 分 析 ， 该 样 本 并 没 有 激 活 功 能 ， 其 主 要 功 能 是 安 装 广 告 软 件 以 及 挖 矿 程 序 。 活 功 能 ， 其 主 要 功 能 是 安 装 广 告 软 件 以 及 挖 矿 程 序 。 挖 矿 程 序 会 拉 起 系 统 进 程 并 在 其 中 注 入 挖 矿 代 码 ， 并 循 环 监 控 t a s k m g r . e x e 进 程 ， 如 果 检 测 到 t a s k m g r . e x e 进 程 则 终 止 挖 矿 ， 使 得 受 害 者 比 较 难 以 察 觉 。 二 、 行 为 分 析 二 、 行 为 分 析 2 . 1   病 毒 母 体 病 毒 母 体 病 毒 母 体 图 标 伪 装 成 W i n d o w s   L o a d e r ： 其 实 是 用 C r e a t e I n s t a l l 制 作 的 安 装 包 ： 安 装 界 面 ：
释 放 如 下 几 个 文 件 到 C : P r o g r a m   F i l e s   ( x 8 6 ) K M S P i c o   1 0 . 2 . 1   F i n a l 目 录 并 运 行 脚 本 W I N L O A D E R _ S E T U P . B A T 。 W I N L O A D E R _ S E T U P . B A T 依 次 运 行 W i n d o w s L o a d e r . e x e 、 R e g i s t r y _ A c t i v a t i o n _ 2 7 5 1 3 9 3 0 5 6 . e x e 和 a c t i v a t i o n . e x e 。 W i n d o w s L o a d e r . e x e 与 R e g i s t r y _ A c t i v a t i o n _ 2 7 5 1 3 9 3 0 5 6 . e x e 都 是 广 告 软 件 ， a c t i v a t i o n . e x e 则 是 挖 矿 程 序 。
2 . 2   W i n d o w s L o a d e r . e x e 首 先 是 W i n d o w s L o a d e r . e x e ， 可 以 看 出 病 毒 作 者 显 然 是 个 摄 影 爱 好 者 ， 在 程 序 的 资 源 中 也 不 忘 插 入 自 己 喜 欢 的 艺 术 照 （ 已 马 赛 克 处 理 ） 。 W i n d o w s L o a d e r . e x e 安 装 界 面 ： 会 下 载 并 安 装 R u n B o o s t e r ：
安 装 R u n B o o s t e r 服 务 ： R u n B o o s t e r U p d a t e T a s k 升 级 任 务 计 划 ： R u n B o o s t e r 的 抓 包 行 为 ：
2 . 3   R e g i s t r y _ A c t i v a t i o n _ 2 7 5 1 3 9 3 0 5 6 . e x e R e g i s t r y _ A c t i v a t i o n _ 2 7 5 1 3 9 3 0 5 6 . e x e 安 装 界 面 ： 功 能 存 在 问 题 ， 下 载 的 e x e 文 件 没 有 带 后 缀 名 ：
2 . 4   a c t i v a t i o n . e x e 首 先 在 L o c a l 目 录 下 新 建 c y p j M E R A k y 文 件 夹 并 将 自 己 拷 贝 到 下 面 。 添 加 注 册 表 自 启 动 项 。
检 测 是 否 存 在 t a s k m g r . e x e 进 程 。 如 果 t a s k m g r . e x e 进 程 不 存 在 则 拉 起 系 统 进 程 w u a p p . e x e ， 参 数 为 “   - a   c r y p t o n i g h t   - o s t r a t u m + t c p : / / x m r . p o o l . m i n e r g a t e . c o m : 4 5 5 6 0   - u m i n e p o o l @ g m x . c o m   - p   x   - t   2 ” 。
将 挖 矿 程 序 注 入 到 w u a p p . e x e 进 程 。 挖 矿 程 序 为 开 源 的 c p u m i n e r - m u l t i   1 . 2 - d e v 。 进 入 循 环 ， 守 护 注 册 表 自 启 动 项 ， 并 检 测 t a s k m g r . e x e 进 程 ， 如 果 检 测 到 则 终 止 w u a p p . e x e 。
三 、 解 决 方 案 三 、 解 决 方 案 （ 1 ） 不 从 不 明 网 站 下 载 软 件 ， 不 要 点 击 来 源 不 明 的 邮 件 以 及 附 件 ； （ 2 ） 及 时 给 电 脑 打 补 丁 ， 修 复 漏 洞 ； （ 3 ） 尽 量 关 闭 不 必 要 的 文 件 共 享 权 限 以 及 关 闭 不 必 要 的 端 口 ， 如 ： 4 4 5 , 1 3 5 , 1 3 9 , 3 3 8 9 等 ； （ 4 ） 安 装 专 业 的 终 端 / 服 务 器 安 全 防 护 软 件 ， 深 信 服 E D R 能 够 有 效 查 杀 该 病 毒 。 * 本 文 作 者 ： 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理