挖矿木马到底是什么？它有多大危害？
时间:2021-12-01 17:13 来源:博学谷资讯 作者:楚楚 点击:次
一、蓬勃发展的“采矿业”
勒索软件为网络犯罪分子提供了一种收益极高但却是一次性的牟利方式,与之相反,被感染挖矿木马的“矿工”将提供更低但可持续时间更长的收入。如今,暗地里已经围绕着数字货币形成了一条黑色产业链,即“黑色的采矿业”
“采矿业”作为网络犯罪分子一种新的非法牟利的新方式,已经开始“挤占”勒索病毒市场份额,勒索病毒已经开始被商业化网络犯罪所抛弃,取而代之的是复杂的挖矿木马。勒索软件直接从受害者身上非法牟利是十分扎眼的方式,会引来社会和媒体的广泛关注,给犯罪分子带来了不可控的麻烦,而“采矿业”则相对更加隐蔽,道德负担更小,更加难以被发现。
这是一个简单的“采矿业”的模型
犯罪分子利用控制的机器,种植挖矿木马挖掘数字货币,经过数次资金转移,然后通过交易将数字货币换成money存入银行,然后犯罪者从银行取出现金。(注:我国监管部门习惯用“虚拟货币”这个术语,专家学者则常常用“数字货币”指代,而国外一般称之为“加密货币”。)
受害者数量是很重要的因素,受害者越多,为挖矿提供的算力就越多,挖掘的数字货币收益就越大。在对挖矿木马感染情况进行一些调查后,我们发现受害者的数量始终保持上涨的趋势。
很明显,遇到挖矿木马的用户正在快速增加。近年来挖矿木马愈演愈烈,究其原因是近年数字货币价格飙升,比特币和Altcoins的价格在 2017 年持续超过记录。虽然经过相关监管部门干预和强力镇压,数字货币大幅度跳水,但仍然有利可图,这诱使黑客大量利用受害机器挖掘数字货币。
二、挖矿木马多维度特征
海青安全研究实验室对所分析的挖矿木马及公开资料的情况进行总结整理,得出以下几个维度的特征。
从木马的角度而言,有这些特征
1、黑客入侵后,直接将简单的开源程序及其包含钱包地址等配置的配置文件传入受害机器,然后运行挖矿。
2、黑客修改了开源程序,将配置文件,钱包地址等内置在可执行文件中,并有时加了一些简单的壳;钱包地址等配置或有加密,但仍可通过沙盒执行直接获得,但可能获取不全,需要稍稍深入分析一下才可获取全部矿池及钱包地址相关威胁情报。
3、基本与传统木马表现相同,“野火烧不尽,春风吹又生”。整体看过去,此种情况下挖矿木马可分为持久化模块与挖矿模块。如果出现多次杀毒都无法杀干净的情况,那就有可能就含有持久化模块。
4、挖矿蠕虫。海青安全实验室监控到两年前的photominerwww.kaifx.cn挖矿还在持续且广泛的传播,该蠕虫依靠弱口令、挂马、社会工程学等手段进行传播。Wanna系列的挖矿蠕虫也是层出不穷,由于ms17- 010 漏洞的广泛传播和利用,Wanna系列挖矿蠕虫其感染性远胜于之前的photominer等挖矿蠕虫。
到目前为止,更多的挖矿蠕虫已经转向整合各种漏洞进行传播的性质,相比起之前类似photominer的挖矿蠕虫,危害更大更广。
5、抓鸡挖矿。当计算机被植入远控等后门之后,攻击者通过远控执行命令或直接文件传输挖矿木马进行挖矿。甚至有自动化抓鸡成功后,自动种植挖矿程序进行挖矿。
此前出现过的多起redis等挖矿事件,是通过客户机器未授权访问redis认证的问题种植挖矿程序;而在检测了许多机器后,发现并无黑客过多入侵活动痕迹,可能只是恰巧被抓鸡了而已。此外,被藏了后门的破解软件、被劫持的WiFi等统统都可以用来抓肉鸡进行挖矿。
6、结合前沿黑客技术
在powershell和WMI被大牛们玩得飞起的时候,挖矿木马开始结合沿黑客技术并向其看齐。出现了许多利用WMI和powershell作为辅助模块的挖矿木马。如explorer挖矿木马,其核心模块就是纯粹的powershell脚本,只需要运行这个脚本就会远程下载挖矿模块进行挖矿并进行其他一系列操作。
7、网页挖矿木马
网站被攻击者恶意植入了网页挖矿木马,只要访问者通过浏览器浏览被恶意植入了网页挖矿木马的站点页面,浏览器会即刻执行挖矿指令,从而沦为僵尸矿机,无偿的为网页挖矿木马植入者提供算力,间接为其生产虚拟货币,这是一种资源盗用攻击。由于网页挖矿木马存在很广的传播面和很不错的经济效益。
8、移动设备挖矿木马
不像勒索病毒,移动设备挖矿木马瞄准的目标市场是发展中国家。移动端挖矿木马是一种新型威胁,虽然移动端功率不如传统服务端及个人PC端功率大,但由于用户数量规模巨大,用户安全意识薄弱,仍然不可忽视。
除了木马以外,黑客还可能使用矿池。矿池是一个把大家的算力纠合到一起挖矿软件,然后根据大家提供的算力大小来平均分配挖到的币。矿池挖矿的过程是把我们自己电脑的算力提供给矿主,矿主用我们的算力去挖矿,挖到的矿其实是存在矿主的钱包当中,然后矿主再根据我们提供算力的比例,给我们的钱包支付相应的扣除税率的费用。
