11日，騰訊發(fā)布的一份報告顯示，盡管以比特幣為代表的虛擬加密幣在過去幾年經(jīng)歷了“過山車”行情，但在過去的一年，挖礦木馬樣本每月產(chǎn)生的數(shù)量高達百萬級別，遠超游戲盜號木馬等傳統(tǒng)病毒，且“求生欲”強烈。

圖片來源：文中報告

誰的電腦被挖礦了?

報告稱，輔助外掛是2018年挖礦木馬最喜愛的藏身軟件之一。線上兩款熱門的策略射擊游戲均被挖礦木馬“光顧”，包括時下流行的“吃雞”游戲，甚至還出現(xiàn)了通殺游戲外掛的520Miner挖礦木馬。

醫(yī)院也沒能逃脫挖礦木馬的魔爪。2018年7月，多家三甲醫(yī)院服務(wù)器被不法黑客入侵，攻擊者暴力破解醫(yī)院服務(wù)器的遠程登錄服務(wù)，之后利用某品牌云筆記的分享文件功能下載多種挖礦木馬，最終獲利超40萬人民幣。

針對企業(yè)的攻擊趨勢在老牌挖礦木馬——PhotoMiner上體現(xiàn)得更為明顯。這個被首次發(fā)現(xiàn)于16年的病毒在去年4月重新活躍，通過入侵控制企業(yè)服務(wù)器，組建僵尸網(wǎng)絡(luò)云上挖礦，累計挖到8萬枚門羅幣，收益達到驚人的8900萬人民幣，成為名副其實的“黃金礦工”。

據(jù)介紹，挖礦木馬主要借助一種專用惡意應(yīng)用秘密安裝到用戶電腦上，包括游戲外掛、盜版軟件以及一些激活碼的生成器等植入程序。一般被植入挖礦木馬的機器具有CPU占用明顯增加，電腦變熱，運行速度變慢，重啟也不能解決問題等癥狀。

NSA攻擊流程。圖片來源：文中報告

挖礦木馬的“求生欲”

數(shù)據(jù)顯示，在非法利益的直接驅(qū)使下，挖礦木馬不斷變幻手段，為了減少被用戶發(fā)現(xiàn)的幾率，挖礦木馬常用套路是故意把挖礦時占用的CPU資源控制在一定范圍內(nèi)，并且設(shè)置為檢測到任務(wù)管理器時將自身退出的特性。

除此之外，挖礦木馬還會應(yīng)用獨特技術(shù)來逃避殺毒軟件的攔截。2018年5月出現(xiàn)的“美人蝎”挖礦木馬，會隱藏在美女圖片當中，利用圖片加密傳遞礦池相關(guān)信息，通過DNS隧道返回的信息來獲取隱蔽的C2信息，逃避殺軟偵測。該木馬控制超過2萬臺肉雞電腦，分配不同的肉雞集群挖不少于4種數(shù)字加密幣。

為了進一步升級技術(shù)手段，挖礦木馬也瞄上了NSA武器庫。該工具包經(jīng)過簡單的修改利用便可達到蠕蟲式傳播病毒的目的。

圖片來源：文中報告

規(guī)模化感染如何達成?

報告稱，無論是對攻擊目標精挑細選，還是對技術(shù)手段不斷升級，挖礦木馬的核心目的都在于感染更多用戶電腦，攫取更高收益。因此，挖礦木馬對于攻擊渠道的選擇也煞費苦心。

例如電腦和手機端同時發(fā)力。2018年11月，一個雙平臺挖礦木馬被發(fā)現(xiàn)，該木馬具有Windows和Android雙平臺版本，可在中毒電腦和手機上同時運行門羅幣挖礦程序。

即使是單個電腦端的傳播，挖礦木馬為了擴大范圍也想出了新法子——普遍采用了網(wǎng)頁掛馬這種最高效率的傳播方式，而以往利用網(wǎng)頁掛馬傳播最多的是盜號木馬。

另外，網(wǎng)頁掛馬傳播還有進階版——通過大規(guī)模入侵存在安全漏洞的網(wǎng)站，在網(wǎng)頁中植入挖礦代碼。訪客電腦只要瀏覽器訪問到這個網(wǎng)頁，就會淪為礦工。

對此，報告建議，不要下載來歷不明的軟件，謹慎使用破解工具、游戲輔助工具;企業(yè)用戶及時修復(fù)服務(wù)器組件漏洞;監(jiān)測設(shè)備的CPU、GPU占用情況，部署更完善的安全防御系統(tǒng)。(完)(記者 吳濤)

關(guān)鍵詞：