从过去的一年开始,Quick Heal 安全 Labs一直在观察挖掘恶意软件数量的增长。如今,恶意软件作者正在使用挖矿代替勒索软件来赚钱。
最近,Quick Heal 安全 Labs遇到了一种可挖掘Monero(XMR)的恶意软件。该矿工具有许多不同的组件。该挖矿恶意软件的感染媒介仍未确定,但基于归因,该挖矿者通过鱼叉式网络钓鱼,恶意广告等到达系统。
技术 分析 :
被分析的Miner是一个自解压的可执行文件( 特效 )。提取“C:\ Program Files \ Windriverhost”,如下所示:
- vbs(VBScript)
- exe(提取实用程序)
- rar(受密码保护的存档)
- 蝙蝠(批处理文件)

提取组件后,它将启动VBScript(jsnel.vbs),如图2所示。

jsnel.vbs 包含一段简单的代码即可启动 蝙蝠 .

可执行文件 是用于解压缩档案的命令行实用程序。在这里它用来解压缩密码保护 db.rar .
蝙蝠 该文件包含用于删除密码保护存档和恶意软件的旧版本组件的命令,如图4所示。

蝙蝠 的重要任务是提取以下提到的组件 db.rar 在当前位置并启动ouyk.vbs。
- vbs(VBScript)
- bat(批处理文件)
- json(配置文件)
- 驱动程序主机(挖矿工具)

与以前的VBScript(jsnel.vbs)类似,此脚本(ouyk.vbs)太过启动批处理文件(xvvq.bat)。

xvvq.bat 有两个主要目的:
- 要使系统始终保持打开状态,请使用 P 下 碳纤维 命令,以便不会中断挖掘。
“powercfg-更改-standby-timeout-ac 0”
- 要从分析工具中隐藏driverhost.exe:
它列举了使用 任务列表 命令以检查下面列出的任何进程是否正在运行,并且如果发现这些进程中的任何一个正在运行,则会杀死driverhost.exe。
“ 任务管理器 ”
“ 性能工具 ”
“ProcessHacker.exe”
“ 进程表 ”
“procexp64.exe”
“ dumpcap.exe ”
“Wireshark.exe”
“ anvir.exe ”
但是xvvq.bat中存在一个错误,它仅检查taskmgr.exe并杀死dirverhost.exe,如图7所示。并且如果正在运行procexp.exe之类的其他进程,则不会杀死driverhost.exe。

如果上述所有进程均未运行,则它将启动 驱动程序主机 这是一个核心的挖掘工具。它使用xvvq.bat中的无限循环不断检查所有这些进程,并采取相应的措施。
config.json 是一个配置文件,其中存储用户名,密码,最大CPU使用率等数据,如图8所示。

在执行时, 驱动程序主机 从config.json读取矿工配置并连接到“xmr [。] pool [。] minergate [。] com ”, 并将用户名和密码从config.json发送到服务器,并开始使用端口进行挖掘 45560 (用于采矿的端口)。如图9和图10所示。


如图11所示,它将挖掘的CPU使用率限制为35%。

为了保持持久性,恶意软件在启动文件夹中添加了一个快捷方式 乌伊克 .vbs 名称为driverhost.lnk。


矿工的执行流程:
I 超频 :
SHA256:b4ea81958403f717c1a20f18731ef05b648465c7e20cbc6f45bd2f5166c7c940
网址:hxxp:// xmr [。] pool [。] minergate [。] com:45560
快速治愈 将此矿工检测为“特洛伊木马 ”。
结论 :
随着数字货币的价格和升值成倍增长,过去一年中,挖掘恶意软件的数量也在增加。实际上,矿工非常普遍,成千上万台计算机已经被感染。如以上博文所述,挖掘恶意软件的数量已经增加,并且也变得复杂。
主题专家
Ravi Gidwani,Pratik Pachpor |快速修复安全实验室
没意见