加密貨幣:木馬來襲，五千臺電腦淪為挖礦“黑勞工”

文：凱爾

來源：蜂巢財經

編者注：原標題為《五千臺電腦淪為挖礦“黑勞工”！》

加密貨幣業興起，不但帶來一個新興市場，也引誘來唯利是圖的黑產團伙，其中之一是挖礦木馬。

近日，騰訊安全御見威脅情報中心發文稱，他們檢測到通過社會工程騙術傳播的“老虎”挖礦木馬。攻擊者將遠控木馬程序偽裝成“火爆新聞”、“內容”等文件名，在網絡上大肆傳播，不慎點擊者便會立即中招，電腦變得異常卡頓，淪為給黑產團伙挖礦的苦力。

據統計，“老虎”木馬已感染超過5000臺電腦。通過溯源發現，“老虎”的前身為2018年出現的“灰熊”木馬，當時“灰熊”曾感染近10萬主機，通過挖門羅幣，獲取了至少38萬元的非法收入。

除了“灰熊”、“老虎”外，KingMiner、BlueHero、“快Go礦工”等木馬挖礦程序屢見不鮮。有安全人士透露，由于部分木馬已在黑產圈開源，作惡成本降低，病危害加劇，每個人都可能成為“受害者”。

以太坊開發者：Solana官方庫中存在一個任何dep更新都可能將木馬帶入SOL應用程序的漏洞:金色財經報道，以太坊開發者Evan Van Ness分享了一位開發者的帖子，他注意到該項目官方web3.js 庫中有一個潛在的關鍵問題，該問題可能會損害普通用戶和愿意構建基于 SOL 的應用程序的開發人員。在下載該庫后，該開發者在一個202MB的軟件包中看到了723個依賴項。在解壓庫時，又有310MB的文件被創建，其中有17000多個文件。問題是，所有的存儲庫都有一個非綁定的版本范圍，這意味著任何更新都有可能通過庫給基于SOL的應用程序帶來惡意軟件。

庫的安全漏洞是一個嚴重的問題，需要修復以避免未來的安全問題，但考慮到各種技術問題和最近的網絡停機，很明顯，生態系統充滿了錯誤、技術問題和其他問題，使Solana無法取代以太坊等網絡。[2022/8/12 12:22:00]

業內人士呼吁，在發展加密貨幣行業之時，行業建立者也應共同抵制作惡行為，加強安全普及，提升安全系數。

永恒之藍木馬下載器再更新，入侵Linux服務器后下載門羅幣挖礦木馬:騰訊安全威脅情報中心檢測到永恒之藍下載器木馬新增利用Hadoop Yarn未授權訪問漏洞攻擊。該變種入侵Linux服務器后下載門羅幣挖礦木馬，然后將挖礦任務進行持久化、清除競品挖礦木馬，并通過SSH爆破橫向移動。永恒之藍下載器木馬自2018年底出現以來，一直處于活躍狀態。該病不斷變化和更新攻擊手法，從最初只針對Windows系統擴大攻擊范圍到Linux系統。截止目前，其攻擊手法已涵蓋弱口令爆破、系統漏洞利用、Web漏洞利用等，其中利用SSH、Redis、Hadoop Yarn服務的攻擊方式可能對云主機以及云上業務造成較大威脅。（騰訊安全威脅情報中心）[2020/10/29]

木馬來襲，五千臺電腦秒變“礦機”

公司文員趙路不耐煩地點擊、移動鼠標，可鼠標箭頭壓根不聽使喚，在電腦屏幕上龜速移動，畫出一道道重影。

動態 | 捕獲SQL服務器爆破傳播的挖礦木馬 影響近千臺服務器:據騰訊御見威脅情報中心消息，近期安全團隊捕獲到通過SQL服務器爆破傳播的挖礦木馬，挖礦團伙將惡意程序保存在HFS服務器，并且將木馬程序偽裝成為某安全軟件。SQL爆破成功后首先通過VBS腳本植入主體程序，主體程序繼續下載挖礦程序以及執行各種遠控指令。木馬會利用服務器資源進行門羅幣挖礦。該病影響全國多個地區近千臺服務器，江蘇、北京、浙江、天津、廣東受害者數量位居前列。[2019/6/14]

前一天，電腦還好好的，突然“變成了磚”，趙路很著急。他打開資源管理器，發現CPU占用率達到了97%，他并沒有運行什么大型軟件，反復重啟多次，問題仍未解決。

遭遇電腦系統嚴重卡頓的趙路并不知道，此時電腦高速運轉的CPU，正在進行大量計算來“挖礦”。這是一個離他認知有一些距離的產業——加密貨幣挖礦。在近十年的時間，該產業在一個還算不得龐大的幣圈里流行。

動態 | Fortnite軟件出現盜取用戶比特幣錢包地址的木馬病:網絡安全公司Malwarebytes 10月2日發布的一篇文章稱，他們發現騙子利用惡意軟件攻擊Fortnite玩家的比特幣錢包地址。“騙子”將惡意的數據竊取代碼替換在Fortnite的下載鏈接中，這些欺騙性鏈接是通過騙子的youtube頻道進行推廣的，這些頻道會將用戶重定向到隱藏惡意軟件的下載。據報道，對一份惡意文件的調查發現，已有超過1200次下載已經完成;Malwarebytes的檢測方法將該文件識別為“特洛伊木馬”。他發現這是一個針對比特幣錢包、瀏覽器會話信息、cookie和其他數據的數據竊取器。據報道，該文件試圖通過“POST命令”將抽取的信息重定向到/索引。php文件在俄羅斯聯邦，由IP地址5.101.78.169提供。[2018/10/5]

與趙路有相同遭遇的人不在少數。他們分布在北京、廣東、上海、河南、山東等地，手中的一臺臺電腦開機即挖礦，挖來的幣則落入了黑產團伙的錢包。

動態 | 騰訊安全《七月安全輿情報告》：挖礦木馬數量將持續激增:《報告》顯示，整個七月份，入侵企業服務器挖礦事件呈現上升趨勢。國內多家醫院服務器先后遭入侵，攻擊者暴力破解醫院服務器的遠程登錄服務，并偽裝成遠程協助工具Teamviewer運行，占用服務器資源進行挖礦。同時該挖礦木馬還會通過修改注冊表破壞操作系統的安全功能，關閉運行危險程序時的打開警告等。據悉，我國醫療機構開放遠程登錄服務的比例高達50%，意味著有一半的醫院服務器可能遭遇類似攻擊。《報告》認為，隨著數字貨幣交易價格的持續走高，挖礦木馬數量將在之后的時間持續激增，如何使用安全產品實時防御顯得尤為重要。[2018/8/7]

這些電腦感染了近期流行的一種木馬病。騰訊安全御見威脅情報中心通過層層解剖發現，黑產團伙挖礦使用的自建礦池包含字符“laofubtc”，因此，他們將其命名為老虎挖礦木馬。據騰訊御見統計，截至12月5日，老虎挖礦木馬已感染超過5000臺電腦。攻擊者將遠控木馬程序偽裝成“火爆新聞”、“內容”、“隱私資料”、“詐騙技巧”等文件名，通過社交網絡發送到目標電腦，受害者雙擊查看文件后，會立刻被安裝遠程控制木馬。

而后，攻擊者通過遠控木馬控制中電腦，下載挖礦木馬，這些電腦隨即淪為“礦工”。

從手法上看，這是一場在社交網絡上傳播的無差別攻擊。

騰訊御見總結了部分釣魚攻擊文件名，包括“某公司被襲擊”、“小姐姐視頻”、“會員資料”及“變聲器”等。這些抓人眼球的文件名全部與加密貨幣行業沒有直接關聯，中電腦的主人在出于獵奇心理點擊后，就可能成為幫助黑產團伙賺錢的“黑勞工”。

部分釣魚攻擊文件名

騰訊御見披露，病攻擊者非常狡猾。在挖礦木馬文件植入電腦后，該文件將偽裝成音頻設備公司“WavesAudio”，首次執行后，會用垃圾數據“增肥”到150MB，以此逃避殺軟件檢測。

礦機程序文件則被偽裝成顯卡制造商英偉達的驅動程序。一般來說，電腦用戶都認為英偉達的驅動是安全且必要的，不會隨意刪除，因此很難識破和處理。

目前，尚未得知上述黑產團伙通過“老虎木馬”挖的是什么幣。盡管該挖礦程序中出現了“laofubtc”字符，但加密行業人士認為，用電腦CPU挖比特幣的可能性不大，“現在早就過了電腦挖比特幣的時代，5000多臺電腦組成的分布式礦池，可能還不如幾十臺好的礦機。”

“灰熊”變異，黑產團伙作惡不斷

騰訊御見溯源查詢發現，“老虎”挖礦木馬的文件服務器baihes.com指向的IP為46.4.156.44。該IP在2018年就引起過安全人士的注意，當時一個名為“灰熊”的挖礦木馬BearMiner，其域名miner.gsbean.com也與上述IP直接相關。

騰訊御見推測，“灰熊”和“老虎”屬于同一團伙,“老虎”替代“灰熊”挖礦木馬，呈現了新的活躍趨勢。

2018年7月，深信服安全專家首次曝光了“灰熊”挖礦病。“灰熊”偽裝的方式與“老虎”異曲同工，能繞過主流的殺軟件，并且潛伏數月。

“灰熊”的危害性更強，據深信服統計，“灰熊”感染的主機近10萬臺，中主機多表現為異常卡頓，嚴重影響主機性能。

深信服將該病的危害等級劃分為“高危”，查殺難度為“難”。據披露，當時“灰熊”挖的幣主要是匿名幣門羅幣。與比特幣不同，門羅幣的挖礦門檻低，且容易上手，使用家用電腦便可通過CPU和顯卡來挖礦。

此外，由于所有的門羅交易都使用隱蔽地址來保護接收者的隱私，以致黑產團伙挖得的幣，難以追蹤去向。

根據深信服去年7月份的統計數據，“灰熊”病在當時挖了420個門羅幣。按當時927元的幣價換算，攻擊者通過木馬病非法挖礦所得超38萬元，而這花費的成本并不高。

在黑產圈，名為“大灰狼”的遠程控制木馬是較為流行的遠程控制工具，“老虎”病也正是通過這個遠控工具，在受害者的電腦中植入病。

據傳，“大灰狼”的原始作者已去世，但相關代碼已流落黑產圈，還開源共享起來。不同的病木馬團伙對其定制改造后，衍生出諸多變種，無形中減少了黑產團伙開發病的成本。

除了“灰熊”、“老虎”之外，這幾年，KingMiner挖礦木馬、BlueHero挖礦蠕蟲病、“快Go礦工”等木馬程序屢見不鮮。2018年底，湖南衡陽市局石鼓分局還曾破獲一起病挖礦案件，某計算機專業畢業生，通過給網吧電腦裝木馬，遠程挖礦獲利上億元。

“老虎”病入侵示意圖

在社交網絡發達的今天，人們每天都會接觸大量的信息，一不小心，就可能成為黑客的“挖礦苦力”。當你發現電腦突然出現嚴重卡頓的異常，你的電腦很可能在為別人緊鑼密鼓地創造不當利潤。

安全專家提示，互聯網用戶不要隨意打開來歷不明的文件。在點開文件之前，建議打開資源管理器文件夾選項，“查看已知文件的擴展名”。當發現文件圖標為Office、音樂、視頻文件，而文件的擴展名為“exe、com、pif、bat”時，即可立刻判斷為危險文件，應立即刪除，并使用殺軟件查殺。

區塊鏈和數字貨幣的興起，讓“挖礦”成為一個新興產業且逐漸繁榮。利益往往容易滋生罪惡，挖礦木馬、黑客盜幣、暗網交易等事件層出不窮，“黑產”也是這個新興行業的“硬幣背面”。

業內人士呼吁，在新技術、新行業初生之時，行業參與者應共同提升安全技術儲備，共同抵制黑客、黑產的作惡行為；專業的安全團隊不妨成立安全聯盟，向大眾普及基本的網絡安全常識，加強對新病的公示和預警，以免不了解加密貨幣的公眾淪為挖礦的“黑勞工”。

互動時間

你遭遇過挖礦木馬嗎？

Tags：門羅幣比特幣SOL加密貨幣門羅幣有什么缺點比特幣行情最新價格走勢圖新聞sol幣簡介加密貨幣市場最新消息新聞

幣安app官方下載最新版