KingMiner挖礦木馬自去年開始活躍以來，通常使用暴力方式來攻擊MSSQL微軟服務(wù)器，以獲取攻擊服務(wù)器所需的憑據(jù)。一旦獲得訪問權(quán)限后，便可實(shí)現(xiàn)在受害者的計(jì)算機(jī)上下載并執(zhí)行一系列挖礦腳本文件。而在近期，360安全大腦成功監(jiān)測到國內(nèi)團(tuán)伙對KingMiner挖礦木馬進(jìn)行了技術(shù)更新。短短不到一周時(shí)間，受攻擊服務(wù)器已達(dá)數(shù)千臺(tái)。

　　區(qū)別于以往暴力入侵用戶機(jī)器之后便開始大挖特挖的野蠻行徑，該團(tuán)伙開始有意識(shí)的維持現(xiàn)有肉雞的穩(wěn)定性，再度為木馬防護(hù)提出了新的挑戰(zhàn)。

　　更新之后的KingMiner挖礦木馬總體工作流程

　　不過廣大用戶無需擔(dān)心，360安全衛(wèi)士已支持針對該類木馬的攔截查殺，建議廣大用戶及時(shí)下載安裝360安全衛(wèi)士保護(hù)電腦隱私及財(cái)產(chǎn)安全。

　　入侵設(shè)備方式多樣化，病毒內(nèi)核經(jīng)多層“外衣”包裹

　　從本次360安全大腦的監(jiān)測來看，升級(jí)的挖礦木馬成功入侵用戶設(shè)備之后，該作案團(tuán)伙通過SQL命令行下載執(zhí)行具有管理功能的VBS腳本，其將根據(jù)入侵設(shè)備是否曾經(jīng)遭受入侵而選擇更新相關(guān)工作模塊或者下載部署全新的KingMiner挖礦木馬。

　　從木馬拆解情況來看，通過2個(gè)URL(hxxp://q.30583fdae.tk/32tl.zip、hxxp://q.30583fdae.tk/64tl.zip)下載得到的模塊功能是一致的，只是用于不同的系統(tǒng)版本。以32tl.zip來解析，通過對外層XML的處理與base64的解剖后，便可得到真正的PE壓縮包文件。經(jīng)過解壓發(fā)現(xiàn)，這正是剛過去不久的CVE-2019-0803提權(quán)漏洞利用工具，成功利用此漏洞的攻擊者可以以系統(tǒng)最高權(quán)限運(yùn)行任意代碼，攻擊者可隨后安裝程序，查看、更改或刪除數(shù)據(jù)，甚至創(chuàng)建擁有完全用戶權(quán)限的新帳戶。由此可見，此次更新后KingMiner挖礦木馬的殺傷力不言而喻。

　　加持持久化模塊，KingMiner挖礦木馬堪比“永動(dòng)機(jī)”

　　另外，此次卷土重來的KingMiner挖礦木馬通過在持久化方面的積極進(jìn)化，成為了令人恐懼的“越級(jí)新變種”。其通過設(shè)置計(jì)劃任務(wù)的方式，定時(shí)下載執(zhí)行云端控制的腳本;并且作者為了長期、穩(wěn)定、隱蔽的運(yùn)營，采用了根據(jù)當(dāng)前系統(tǒng)時(shí)間生成和查詢域名“news.g32thr.com”進(jìn)行控制的兩種DGA(Domain Generation Algorithm域名生成算法)。并且DGA腳本被木馬寫入了用戶的計(jì)劃任務(wù)中，設(shè)定每15分鐘執(zhí)行一次。

　　通過捕獲到的執(zhí)行腳本不難發(fā)現(xiàn)，具體代碼實(shí)現(xiàn)了3步操作：

　　1、首先檢測用戶是不是WIN7及以下的系統(tǒng)，如果是的話就繼續(xù)執(zhí)行。

　　2、然后檢查用戶有沒有安裝編號(hào)為“kb4499175、kb4500331、KB4499149、KB4499180、KB4499164”的系統(tǒng)補(bǔ)丁，如果沒有找到則執(zhí)行下一句。

　　3、關(guān)閉用戶的遠(yuǎn)程桌面功能。

　　從木馬作者通過主動(dòng)幫助用戶關(guān)閉遠(yuǎn)程桌面功能，以保證徹底杜絕漏洞危害的這一做法來看，作案團(tuán)伙已經(jīng)完成了從一心入侵肉雞到維持已有肉雞留存量的戰(zhàn)略轉(zhuǎn)變，顯然這種有意識(shí)的向技術(shù)縱深發(fā)展，并非我們所樂于見到的結(jié)果。

　　網(wǎng)絡(luò)黑產(chǎn)“野蠻生長”，用戶網(wǎng)安意識(shí)亟待加強(qiáng)

　　值得一提的是，隨著今年比特幣重新煥發(fā)活力，與數(shù)字貨幣相關(guān)聯(lián)的挖礦木馬的態(tài)勢也再次呈現(xiàn)出，如同比特幣漲勢一般的指數(shù)級(jí)增長。從本次卷土重來的KingMiner挖礦木馬事件中不難看出，作案團(tuán)伙也展現(xiàn)出了更為全面與多樣的作案能力。實(shí)際上，隨著社會(huì)進(jìn)入數(shù)字化時(shí)代，網(wǎng)絡(luò)黑產(chǎn)早已不再是散兵游勇式的單打獨(dú)斗，具有專業(yè)分工、鏈條化運(yùn)作特征的產(chǎn)業(yè)模式日趨完善。所以，面對日益猖獗、方法手段不斷翻新的網(wǎng)絡(luò)黑產(chǎn)，我們應(yīng)時(shí)刻加強(qiáng)網(wǎng)絡(luò)安全意識(shí)，努力提高自我防范能力。

　　因此360安全大腦建議廣大用戶做好以下防御措施，抵御挖礦木馬的侵害：

　　1、前往weishi.#下載安裝360安全衛(wèi)士，抵御各類病毒木馬威脅;

　　2、及時(shí)使用360安全衛(wèi)士為系統(tǒng)安裝補(bǔ)丁，關(guān)閉不必要的端口和服務(wù);

　　3、發(fā)現(xiàn)電腦出現(xiàn)異常時(shí)，及時(shí)使用360安全衛(wèi)士進(jìn)行體檢掃描，查殺木馬病毒;

　　4、使用高強(qiáng)度的Windows登陸密碼、SSH登陸密碼、MsSQL數(shù)據(jù)庫密碼，避免遭遇弱口令爆破攻擊。

特別提醒：本網(wǎng)內(nèi)容轉(zhuǎn)載自其他媒體，目的在于傳遞更多信息，并不代表本網(wǎng)贊同其觀點(diǎn)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實(shí)，對本文以及其中全部或者部分內(nèi)容、文字的真實(shí)性、完整性、及時(shí)性本站不作任何保證或承諾，并請自行核實(shí)相關(guān)內(nèi)容。本站不承擔(dān)此類作品侵權(quán)行為的直接責(zé)任及連帶責(zé)任。如若本網(wǎng)有任何內(nèi)容侵犯您的權(quán)益，請及時(shí)聯(lián)系我們，本站將會(huì)在24小時(shí)內(nèi)處理完畢。