浅谈无文件挖矿病毒分析与处理

时间：2024-07-28

潘雪，杨英奎，刘春雪

（1.黑龙江省生态气象中心,黑龙江哈尔滨 150030；2.黑龙江省气象数据中心，黑龙江哈尔滨 150030）

1 引言

随着社会的发展，互联网技术越来越普及，在新兴技术不断出现的同时，针对新技术的攻击手段也频发、升级和进化，借助于各种手段实施网络安全威胁的介质、方式和载体更是变化莫测，网络安全形势始终不容乐观。近年来，伴随着加密货币交易市场的发展，以及加密货币的价值不断提升，恶意挖矿攻击已经成为影响最为广泛的一类网络安全威胁，影响着各大国家机关和企事业单位以及个人用户。

2 挖矿病毒

2.1 挖矿

挖矿本身并不是一种恶意行为，对于比特币挖矿来说，它是一种计算行为，即利用硬件资源在比特币网络中进行科学计算，通过计算得出的结果来获得相应的报酬，此报酬即比特币。随着电子货币的种类越来越多，挖矿的币种也在不断拓展，挖矿的形式和算法也在不断演进。最初，挖矿行为主要利用CPU、GPU 等资源进行，这些硬件资源的成本比较低。后来，随着加密货币市场逐渐扩大，人们已经不满足于利用这些硬件资源进行挖矿，而是开始设计出各种专业的挖矿工具，比如可编程阵列等进行挖矿，这种专业的挖矿工具大幅度提升了挖矿速度[1-3]。

2.2 恶意挖矿

恶意挖矿也叫加密劫持。加密劫持是一种在未经其同意或不知情的情况下，使用人类设备（电脑、手机、平板或者服务器）来秘密开采受害人资源从而获取加密货币的行为。攻击者没有建立专用的加密矿计算机，而是使用加密劫持从受害者的设备中窃取计算资源。当所有这些资源加在一起时，攻击者就可以与复杂的加密采矿操作进行竞争，而无须付出昂贵的开销[4-8]。

当前恶意挖矿程序主要的形态分为两种：第一种是基于开源的挖矿代码的定制化挖矿程序，如XMRig, CNRig, XMR-Stak。其中XMRig 是一个开源的跨平台的门罗算法挖矿项目，其主要针对CPU 挖矿，并支持38 种以上的币种。由于其开源，跨平台和挖矿币种类别丰富，它已经成为各类挖矿程序的核心。第二种是嵌入恶意JS 脚本的挖矿网站。网站被植入恶意挖矿脚本后，会利用浏览该网站的用户计算机资源进行挖矿获利。最常见的挖矿网站家族有Coinhive,Jsecoin 等[9]。

3 病毒分析与处理

以无文件挖矿病毒案例，介绍病毒分析处理过程。

3.1 中毒现象

服务器受无文件挖矿病毒侵害表象为服务器操作卡顿严重，CPU 利用率高达100%；出现多个PowerShell 进程，且手动结束进程后会自动恢复；常规杀毒软件无任何安全提醒，使用HIPS 杀毒软件可追踪异常操作。

3.2 分析处理过程

(1)经检查发现CPU 资源占用过多，对进程逐一排查确定是由于PowerShell 进程导致。在任务管理器内对其手动结束进程，等待片刻后PowerShell 进程又再次出现，因此判断其存在自动启动的情况。鉴于处理期间未重启电脑，故检查任务计划程序是否正常。依次点击开始- 所有程序- 管理工具-任务计划程序，在右侧的操作列表中发现系统已禁用所有任务历史记录，并在左侧的任务计划程序中出现多个异常命名的计划任务。点击顶部的操作显示所有正在运行任务，查看当前计划任务中的运行情况。

(2)经排查确认在任务计划程序列表内出现6 个异常命名的计划任务，安全选项设定为不管用户是否登录都要运行计划任务。具体操作为启动Power-Shell 程序并执行命令，触发器均为触发后无限期间隔1 小时运行。逐步排查确认全部异常的计划任务列表，并确认它们的创建起止时间：2020-04-03 16:52:00 - 2020-04-03 16:53:31 为同一时段。对上述异常计划任务进行导出留存，导出完成后对其进行删除处理。

(3)删除完成后再次打开任务管理器，对异常的PowerShell 进程进行结束进程操作，再次检查CPU使用率时确认已恢复正常状态。通过上述排查确认，该行为通过计划任务执行PowerShell 脚本实现无文件挖矿。

(4)对已获取的6 个.xml 格式的计划任务文件进行分析汇总，除了在计划任务创建时间以及计划任务启动时间略有差异外，均使用PowerShell 作为启动程序，执行不同的命令。针对6 条获取的PowerShell 执行命令进行分析汇总，可判断出其通过hosts 文件将域名解析至指定的IP 地址。编辑hosts文件确认文件已被修改，仅留下66.42.43.37 yQtl2uoaKi.jp 一条记录。

因此获知PowerShell 执行命令从下述的6 个地址内获取执行脚本：

http://t.tr2q.com/x.jsp?eb_20200403

http://t.awcna.com/x.jsp?eb_20200403

http://t.amynx.com/x.jsp?eb_20200403

http://BnbqKXaeotF.cn/w.jsp?eb_20200403

http://yQtl2uoaKi.jp/w.jsp?eb_20200403

http://kwC0HVZGv.kr/w.jsp?eb_20200403

通过Ping 和Whios 确认， tr2q.com、awcna.com、amynx.com 三个域名真实存在，但已禁Ping 。而另外三个域名均是虚假地址，使用Hosts 地址表内的66.42.43.37 IP 进行通信，通过IP 查解析域名获知该IP 绑定过域名t.awcna.com 和p.awcna.com 与上述结论得到证实，因此推断上述地址实质上均是通过66.42.43.37 下载同一文件，拦截该地址即可阻断下载。

(5)请求上述地址即可获得x.jsp 文件，从内容看代码已进行加密混淆。从攻击过程上看可能为通过系统漏洞攻击进入计算机系统，成功入侵目标计算机后，通过执行PowerShell 加载下一阶段的后门或木马。

无文件挖矿病毒利用永恒之蓝等漏洞进行传播，可对弱命令的RDP 进行爆破攻击，了解其传播方式后关闭相应端口，对系统进行加固和防护。具体操作为：启用防火墙添加135、137、138、139、445、65529 TCP/UDP 出入站特定端口；检查计划任务中的异常计划任务并删除，结束进程中PowerShell 全部进程，更新系统安装微软官方提供的漏洞补丁；安装HIPS 安全软件（火绒安全），对系统进行防护，开启注册表防护、以及敏感动作防护，拦截执行Power-Shell 可疑操作。