搜索

[12541] 2018-04-02_藏在短链接下的挖矿木马：NovelMiner

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-04-02_藏在短链接下的挖矿木马：NovelMiner 藏 在 短 链 接 下 的 挖 矿 木 马 ： N o v e l M i n e r 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 8 - 0 4 - 0 2 0 x 1   概 述 概 述 使 用 短 链 接 跳 转 到 长 网 址 是 网 友 分 享 链 接 的 常 见 方 式 ， 尤 其 是 在 有 字 数 限 制 的 情 况 下 ， 冗 长 的 网 址 不 利 于 显 示 ， 短 链 生 使 用 短 链 接 跳 转 到 长 网 址 是 网 友 分 享 链 接 的 常 见 方 式 ， 尤 其 是 在 有 字 数 限 制 的 情 况 下 ， 冗 长 的 网 址 不 利 于 显 示 ， 短 链 生 成 无 疑 是 最 便 捷 的 服 务 之 一 。 然 而 ， 由 于 短 链 接 隐 藏 了 其 指 向 的 真 实 长 网 址 ， 用 户 往 往 无 法 无 法 从 短 链 得 知 其 指 向 的 网 成 无 疑 是 最 便 捷 的 服 务 之 一 。 然 而 ， 由 于 短 链 接 隐 藏 了 其 指 向 的 真 实 长 网 址 ， 用 户 往 往 无 法 无 法 从 短 链 得 知 其 指 向 的 网 址 类 型 ， 因 而 经 常 会 因 为 误 点 击 带 毒 短 链 接 而 电 脑 中 毒 。 址 类 型 ， 因 而 经 常 会 因 为 误 点 击 带 毒 短 链 接 而 电 脑 中 毒 。 腾 讯 安 全 御 见 威 胁 情 报 中 心 持 续 检 测 到 ， 一 款 名 为 N o v e l M i n e r 的 挖 矿 木 马 自 2 0 1 7 年 9 月 开 始 隐 藏 在 广 告 短 链 接 中 进 行 传 播 。 据 统 计 ， 全 球 约 有 1 0 0 多 个 国 家 超 过 1 5 0 0 万 用 户 由 于 误 点 带 毒 广 告 页 面 而 自 动 下 载 了 N o v e l M i n e r 挖 矿 木 马 。 本 次 发 现 的 N o v e l M i n e r 挖 矿 木 马 通 过 挖 取 E T N 币 （ 以 利 坊 币 ） 获 利 ， 按 一 台 普 通 电 脑 机 器 0 . 6 6   K h a s h / s 算 力 计 算 ， 每 天 可 以 挖 取 到 2 0 枚 E T N 币 （ 以 利 坊 币 ） ， 月 收 益 约 为 1 3 0 人 民 币 。 而 目 前 发 现 的 绝 大 部 分 挖 矿 木 马 都 会 选 择 挖 取 门 罗 币 ， 在 同 等 算 力 （ 0 . 6 6 K h a s h / s ） 下 ， 每 月 可 以 获 取 0 . 0 7 4 枚 ， 月 收 益 约 为 1 0 5 人 民 币 。 也 就 是 说 ， 从 短 期 看 来 ， 一 台 普 通 电 脑 每 月 挖 取 到 的 E T N 币 （ 以 利 坊 币 ） 收 益 要 比 门 罗 币 高 出 2 5 人 民 币 。 （ E T N 全 称 E l e c t r o n e u m ， 中 文 称 以 利 坊 ， 为 门 罗 币 的 分 支 币 种 。 E T N 在 2 0 1 7 年 9 月 1 4 日 通 过 I C O ， 发 行 总 量 为 2 1 0 亿 枚 ， 目 前 交 易 价 格 在 0 . 0 3 5 美 元 。 ）
0 x 2   详 细 分 析 详 细 分 析 该 木 马 最 早 出 现 在 2 0 1 7 年 8 月 2 9 日 ， 到 现 在 历 经 四 次 版 本 升 级 ： V 1 . 0 版 本 ： 版 本 ： 母 体 为 自 解 压 格 式 文 件 ， 内 嵌 V B S 脚 本 ， 活 跃 时 间 为 2 0 1 7 . 8 . 2 9 — 2 0 1 7 . 1 0 . 1 7 内 嵌 的 a . v b s 内 容 比 较 简 单 ， 启 动 后 会 下 载 另 一 个 b . v b s b . v b s 负 责 下 载 并 启 动 x m r i g 挖 矿 程 序 ， 木 马 常 用 V B S 名 及 下 载 代 码 段 ： V 1 . 0 版 木 马 攻 击 流 程 该 版 本 的 下 载 链 接 固 定 为 f o r e g r o u n d [ . ] m e V 2 . 0 版 本 ： 版 本 ： 主 要 对 下 载 域 名 做 了 变 化 ， 使 用 l n k r e d i r e c t [ . ] c o m 域 名 ， 活 跃 时 间   2 0 1 7 . 1 0 . 1 7 — 2 0 1 7 . 1 0 . 2 1 藏 在 S F X 中 的 v b s 文 件 内 容 ：
V 2 . 0 版 木 马 攻 击 流 程 ： V 2 . 0 版 木 马 常 用 V B S 名 及 下 载 代 码 段 ： V 2 . 1 版 ： 版 ： 在 V 2 . 0 版 本 基 础 上 还 有 一 次 小 升 级 V 2 . 1 版 本 ， 活 跃 时 间 2 0 1 7 . 1 0 . 2 3 — 2 0 1 7 . 1 1 . 1 4 ， 这 次 主 要 对 代 码 做 了 混 淆 ， 该 版 本 S F X 文 件 会 附 带 两 个 V B S 脚 本 r u n . v b s 以 及 c o n f . v b s ， C o n f . v b s 是 被 混 淆 过 的 下 载 代 码 ：
R u n . v b s 负 责 解 密 c o n f . v b s 并 执 行 c o n f 代 码 矿 机 程 序 常 用 名 称   b r h o s t . e x e 矿 池 地 址 ： n i c e h a s h 矿 池 用 户 名 ： x 2 x 2 ， x 3 x 2 、 X 3 、 X 2 、 x 7 x 2 、 x 7 x 3 、 X 5 2 3 3 、 X 7 、 X 4 、 X 5 V 2 . 1 版 木 马 攻 击 流 程 ： V 3 . 0 版 ： 版 ： 活 跃 时 间 2 0 1 7 . 1 1 . 2 4 — 至 今 此 版 本 基 于 . N e t 编 写 ， 并 对 E X E 文 件 做 了 混 淆 ， 解 密 后 得 到 核 心 代 码 ， v b s 被 内 嵌 在 . n e t 程 序 中 ， 解 密 后 可 以 看 到 释 放 v b s 的 代 码 ： V 3 . 0 版 本 攻 击 流 程 ：
V 3 . 0 版 部 分 文 件 版 本 信 息 ： V 4 . 0 版 ： 版 ：   改 用 d e l p h i 语 言 编 写 ， 活 跃 时 间 2 0 1 7 . 1 2 . 1 7 — 至 今 ， v b s 内 嵌 在 d e l p h i 程 序 中 ： 攻 击 流 程 与 版 本 V 3 . 0 类 似 ， 不 过 从 这 个 版 本 开 始 ， 木 马 不 再 使 用 n i c e h a s h 矿 池 而 改 用 n a n o p o o l 矿 池 钱 包 地 址 ： e t n j z K F U 6 o g E S S K R Z Z b d q r a P d c K V x E C 1 7 C m 1 X v b y y 7 6 P A R Q M m g r g c e H 4 k r A H 6 x m j K w J 3 H t S A K u y F m 1 B B W Y q t c h t q 9 t B a p 8 Q r 4 M 矿 池 账 号 ： b 1 9 6 5 5 7 a 6 a 3 b 3 b 7 e 6 d d 4 d 1 a 7 0 8 8 5 d a a e d 0 9 3 c 1 a e 4 3 c b 9 1 3 c c 3 c 8 a b f 0 e b 2 e e 7 9 c 0 x 3   溯 源 溯 源 根 据 木 马 在 n a n o p o o l 的 信 息 ， 查 询 到 该 木 马 目 前 E T N 币 （ 以 利 坊 币 ） 余 额 为 1 3 2 4 枚 。
从 账 户 的 交 易 记 录 看 ， 总 交 易 量 达 到 了 5 6 6 6 7 枚 。 该 木 马 新 版 在 全 球 控 制 的 算 力 每 天 峰 值 约 为 1 0 0   K h a s h / s ， 约 占 n a n o p o o l 矿 池 总 算 力 的 1 / 4 2 0 ， 据 此 可 知 木 马 一 个 月 即 可 得 到 9 万 个 E T N 币 （ 以 利 坊 币 ） ， 约 合 3 0 0 0 美 元 。 而 这 仅 仅 是 单 账 户 单 币 种 的 收 入 ， 木 马 目 前 正 在 使 用 的 矿 池 账 户 超 过 1 0 个 。 已 知 木 马 链 接 被 隐 藏 到 短 链 中 ， 由 于 木 马 文 件 名 并 不 会 暴 露 在 链 接 中 ， 用 户 点 击 之 前 很 难 甄 别 链 接 真 假 ， 容 易 误 下 载 。
从 短 链 服 务 商 论 坛 可 以 看 到 ， 在 短 链 中 投 放 木 马 的 起 源 甚 至 可 以 追 溯 到 2 0 1 7 年 3 月 份 。 该 木 马 已 经 累 计 影 响 全 球 1 0 0 个 国 家 超 过 1 5 0 0 万 台 机 器 ， 其 中 俄 罗 斯 、 中 国 、 泰 国 受 影 响 最 大 。 从 国 内 受 影 响 省 市 分 布 图 来 看 ， 东 部 沿 海 地 区 及 紧 靠 俄 罗 斯 的 东 北 地 区 受 影 响 比 较 大 。 在 木 马 V 3 版 本 中 可 以 看 到 p d b 信 息 ：
从 p d b 信 息 可 以 看 出 ， 该 挖 矿 木 马 已 经 到 了 V 3 版 本 了 ， 从 作 者 机 器 名 可 以 看 出 属 于 俄 语 区 ， “ р о а и п р о а и п ” 英 文 译 作 “ N o v e l N o v e l ” ， 此 木 马 取 名 为 “ N o v e l M i n e r ” 。 0 x 4   结 语 结 语 近 年 来 ， 短 链 服 务 越 来 越 被 大 众 熟 悉 ， 由 于 其 隐 藏 了 真 实 链 接 ， 容 易 留 给 不 法 分 子 可 乘 之 机 。 腾 讯 电 脑 管 家 提 醒 用 户 不 要 随 意 点 开 未 知 来 源 的 陌 生 链 接 ， 电 脑 管 家 的 “ 反 挖 矿 防 护 ” 功 能 已 覆 盖 电 脑 管 家 全 版 本 用 户 ， 为 用 户 拦 截 并 预 警 各 类 挖 矿 木 马 程 序 和 含 有 挖 矿 j s 脚 本 网 页 的 运 行 ， 保 持 电 脑 管 家 运 行 状 态 即 可 对 此 类 挖 矿 木 马 进 行 全 面 拦 截 。 0 x 5   I O C s 矿 池 代 理 ： 矿 池 代 理 ： 1 4 4 . 7 6 . 8 . 6 9 : 8 3 3 3 1 4 4 . 7 6 . 2 0 1 . 1 7 5 : 8 0 8 0 5 . 1 0 1 . 1 2 2 . 2 2 8 : 8 0 8 0 1 4 1 . 8 . 2 2 4 . 2 2 1 h t t p [ : ] / / p o o l . g q /
h t t p [ : ] / / c . n a n a . g q / h t t p [ : ] / / p o o l i n g . c f / h t t p [ : ] / / a d e s p r e s s o . r u / h t t p [ : ] / / a . p o o l . m l : 8 4 4 3 / U r l ： ： h t t p [ : ] / / . b r o w g e [ . ] c o m / 2 h t t p [ : ] / / . b r o w g e [ . ] c o m / 3 h t t p [ : ] / / f o r e g r o u n d . m e / m / 7 . p n g h t t p [ : ] / / Y . b r o w g e h t t p [ : ] / / M . 1 3 9 5 8 6 7 9 1 2 . p h t t p [ : ] / / 9 . l i n k g e t a p p . n l / x 3 h t t p [ : ] / / . l i n k g e t a p p . n l / x 5 h t t p [ : ] / / f o r e g r o u n d . m e / m / 4 . i c o h t t p [ : ] / / a d s e r t t a . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / l i n k b b b . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / s y m a i l . c f / y t g y e r r w q r / s d f d w e r t . x 4 h t t p [ : ] / / f o r e g r o u n d . m e / m / 6 . i c o h t t p [ : ] / / z b a b x . 9 9 l n k [ . ] c o m / y 8 b t d 3 l q h t t p [ : ] / / z x c z x . c l c k . g g / C 3 S 7 Z h t t p [ : ] / / a l n k a a . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / t x t 3 . c l c k . g g / C 3 S 7 Z h t t p [ : ] / / x z c a w a . 9 9 l n k [ . ] c o m / y 8 b t d 3 l q h t t p [ : ] / / f o r e g r o u n d . m e / m / 3 . i c o h t t p [ : ] / / c x z v w . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / s a d s a d w . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / s e v i z e r . m e / i x / 2 2 2 2 - 1 . p n g h t t p [ : ] / / w w w r e d i r e c t . n e t / y b w b 9 x o o / h t t p [ : ] / / v w p v b s e s . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / n c n q w e . 9 9 l n k [ . ] c o m / y 8 b t d 3 l q h t t p [ : ] / / s y m a i l . c f / a 4 3 a f / d 4 q a d f . p n g h t t p [ : ] / / v c x z s a e . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / b c d . 9 9 l n k [ . ] c o m / y 8 b t d 3 l q h t t p [ : ] / / n a n e r o p . l n k r e d i r e c t [ . ] c o m / g e t
h t t p [ : ] / / h o s t l n k . m l / g e t . x m l h t t p [ : ] / / l v b c n s a . b r o w g e [ . ] c o m / 1 h t t p [ : ] / / s y m a i l . c f / y t g y w b e h r w q r / s d f g w e r t . g e t h t t p [ : ] / / c x z e a s d b . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / s y m a i l . c f / y t g y w b e h r w q r / s d f g w e r t . x 4 h t t p [ : ] / / g e t h o s t . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / l d s d a w s . b r o w g e [ . ] c o m / 2 h t t p [ : ] / / l t e x t . b r o w g e [ . ] c o m / 1 h t t p [ : ] / / r e d i r g e t . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / l u o o p d s . b r o w g e [ . ] c o m / 2 h t t p [ : ] / / x z c b n . 9 9 l n k [ . ] c o m / y 8 b t d 3 l q h t t p [ : ] / / h o s t l n k . m l / g e t . p h p h t t p [ : ] / / f o r e g r o u n d . m e / m / 8 . p n g h t t p [ : ] / / t x t 3 . 9 9 l n k [ . ] c o m / y 8 b t d 3 l q h t t p [ : ] / / r f g . 9 9 l n k [ . ] c o m / y 8 b t d 3 l q h t t p [ : ] / / c l c k . g g / C 3 S 7 Z h t t p [ : ] / / w w w a a a d d d . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / l g y g s k . b r o w g e [ . ] c o m / 1 h t t p [ : ] / / r a n d a e r s . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / r e d i r c e e r . l n k r e d i r e c t [ . ] c o m / g e t h t t p [ : ] / / l x n w w . l n k r e d i r e c t [ . ] c o m / g e t 常 用 文 件 名 ： 常 用 文 件 名 ： f . e x e c r y p n e x t . e x e d r v . e x e l i e 0 w k n 6 . e x e s e . e x e s e t u p _ r a n d o m . e x e d r i v e - d o w n l o a d - r a n d o m . e x e e i 4 t 4 r t u . e x e b i l o _ r a n d o m . e x e B r o w g e . e x e [ F i l e 4 o r g ] _ r a n d o m . e x e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理