潮汕职业技术学院网络与信息化中心移动版

挖矿病毒工作原理

1、通过钓鱼邮件、恶意站点、软件捆绑下载等方式诱导用户点击其恶意脚本程序。

2、在用户点击启动恶意脚本loader.sh后，该脚本将清除安全软件，下载启动程序（kworker）。

3、Kworker程序检查并更新各功能组件，以及启动挖矿程序dbus、攻击程序autoUpdate、隐藏脚本hideproc.sh、攻击脚本sshkey.sh。

4、autoUpdate程序扫描并攻击所在网段的Struts2、Shiro、Mssql、Postgres、Redis、Dubbo、Smb和SSH等组件、服务或协议漏洞，以及国内用户常用的泛微OA、致远OA、通达OA、phpcms、discuz等服务，并利用相关漏洞写入计划任务并执行。

5、通过hideproc.sh脚本隐藏进程，防止被用户发现。

6、通过sshkey.sh脚本尝试从bash_history、etc/hosts、ssh/kownhost及进程已有连接中提取该终端连接过的终端，如果可以成功连接则下载并启动脚本loader.sh，达到传播目的。

7、挖矿程序dbus在受害者的设备上悄悄运行以便挖掘加密货币，同时将中毒设备上连接到一个矿池，为欺诈者获取未经授权的“免费”计算能力，欺诈者直接将“免费算力”挣来的加密货币放入自己的钱包。