近期接到客户反馈，其网络中有部分 Windows 系统终端机器异常，安全团队经过分析，发现其仍旧是一起网络挖矿事件。
阿里云ECS服务器是目前很多网站客户在使用的，可以使用不同系统在服务器中，windows2008 windows2012,linux系统都可以在阿里云服务器中使用，前段时间我们SINE安全收到客户的安全求助，说是收到阿里云的短信提醒，提醒服务器存在挖矿进程，请立即处理的安全告警。客户网站都无法正常的打开，卡的连服务器SSH远程连接都进不去，给客户造成了很大的影响。
网上对于挖矿的检测也有很多的专业文章，笔者在此就对网上的文章做一个汇总再加上自己的一些不太成熟的想法，欢迎各位师傅们的探讨，当然，检测的方法还是从2个方向出发，基于流量层的检测以及主机行为的检测
大家好，我是架构君，一个会写代码吟诗的架构师。今天说一说Window应急响应（四）：挖矿病毒[通俗易懂],希望能够帮助大家进步!!!
攻击者通过各种手段将挖矿程序植入受害者的计算机中，在受害者不知情的情况下利用其计算机的云算力进行挖矿，从而获取利益，这类非法植入用户计算机的挖矿程序就是挖矿木马。
近期，火绒安全团队截获蠕虫病毒“RoseKernel”。该病毒可通过远程暴力破解密码等多种手段全网传播。病毒入侵电脑后，会同时执行“挖矿”（门罗币）、破坏Windows签名校验机制、传播后门病毒等系列恶意行为。由于病毒会对同一网段的终端同时暴力破解密码，对局域网等机构用户（政府、企业、学校、医院）危害极大，截至到发稿前，已有数万台电脑被感染。目前“火绒产品（个人版、企业版）”最新版即可查杀该病毒。
随着虚拟货币的疯狂炒作，挖矿病毒已经成为不法分子利用最为频繁的攻击方式之一。病毒传播者可以利用个人电脑或服务器进行挖矿，具体现象为电脑CPU占用率高，C盘可使用空间骤降，电脑温度升高，风扇噪声增大等问题。
更新后的Mykings会在被感染系统安装开源远程控制木马PcShare，对受害电脑进行远程控制：可进行操作文件、服务、注册表、进程、窗口等多种资源，并且可以下载和执行指定的程序。
《关闭浏览器后，Cryptojacking脚本却仍在运行》文章摘要：研究人员发现一种被称为“弹出式”的隐藏挖矿脚本，即使在用户关闭主浏览器窗口后，仍可在Windows任务栏中运行。不法分子利用Coinhive提供的挖矿脚本，通过隐藏的浏览器窗口和JavaScript代码在用户电脑上挖掘Monero加密货币。该手法难以察觉，且可能严重影响用户计算机性能。用户可尝试使用Windows任务管理器来强制终止与流氓窗口相关联的挖矿进程，或调整Windows任务栏大小并显示该窗口。
0x1 概述 数字货币“挖矿”， 通俗讲就是猜数字求解，猜对即可获得数字货币奖励。目前已知的数字货币约有100多种，包括比特币、莱卡币、门罗币等常见类型，并且近年来其价格呈快速增长趋势。以比特币为例，目前1比特币价格为14841美元，折合人民币97140元；而在2017年年初1比特币价格仅为1000美元，在短短的一年内其价格上涨十几倍。巨大的利润吸引越来越多的挖矿者投入更多的计算资源挖矿，并将算盘打到广大网友头上。 腾讯电脑管家近日捕获的HSR币挖矿木马，隐藏在“绝地求生”辅助程序中，而由于“绝地求生”对电
根据上级开展挖矿专项整治工作，针对当地网吧、酒店等地区开展挖矿排查，此事件便是挖矿专项整治工作中的一例典型。
近日，深信服EDR安全团队捕获到一个伪装成激活软件WindowsLoader的病毒样本。经分析，该样本并没有激活功能，其主要功能是安装广告软件以及挖矿程序。
0×1 概述 数字货币“挖矿”， 通俗讲就是猜数字求解，猜对即可获得数字货币奖励。目前已知的数字货币约有100多种，包括比特币、莱卡币、门罗币等常见类型，并且近年来其价格呈快速增长趋势。以比特币为例，目前1比特币价格为14841美元，折合人民币97140元；而在2017年年初1比特币价格仅为1000美元，在短短的一年内其价格上涨十几倍。巨大的利润吸引越来越多的挖矿者投入更多的计算资源挖矿，并将算盘打到广大网友头上。 腾讯电脑管家近日捕获的HSR币挖矿木马，隐藏在“绝地求生”辅助程序中，而由于“
近日，深信服发现一种具有高强度病毒对抗行为的新型的挖矿病毒，其病毒机制与常规挖矿相差较大，一旦感染上，清理难度极大。目前该病毒处于爆发初期，深信服已将此病毒命名为EnMiner挖矿病毒，并将持续追踪其发展状况并制定详细的应对措施。
1. 报告摘要 近期，神州网云依靠高级威胁检测引擎并结合天际友盟的威胁情报，精确发现了多起高级威胁组织的攻击，通过快速有效的一键溯源确定了攻击行为及影响。 Struts2的安全漏洞从2010年开始陆续被披露存在远程代码执行漏洞，从2010年的S2-005、S2-009、S2-013 S2-016、S2-019、S2-020、S2-032、S2-037、devMode、及2017年3月初Struts2披露的S045漏洞，每一次的漏洞爆发随后互联网都会出现Struts2扫描攻击活动。 近期发现并确认了两个威胁组
在应急响应的过程中，客户反馈防火墙AF报告客户服务器僵尸网络警告，服务器试图解析恶意域名msupdate.info。于是客户使用360，火绒剑等杀毒软件均没有发现异常现象。于是求助我，遂有此文章。
那是一个风和日丽的上午，我和往常一样来到公司，倒杯水等待电脑打开，之后打开日常维护的几个系统。
被黑疑似进程（或 svchost.exe 长时间 50%-100%） 因近期网上大规模爆发Windows 漏洞 2003/2008/2012 等系统被黑的情况，且相关黑客工具获取非常容易本次漏洞基本包含了所有 Windows 系统，5 月 13 日 wana Decrypt0r 2.0 勒索软件爆发，大量计算机被黑和植入木马，且有被加密勒索。 通过这个大洞入侵后，勒索病毒还会与挖矿机（运算生成虚拟货币）、远控木马组团传播，形成一个集合挖矿、远控、勒索多种恶意行为的木马病毒“大礼包”，专门选择高性能服务器挖矿
当企业发生入侵事件、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。
一般情况下，病毒会利用添加启动项、计划任务、服务的方式来实现开机启动，达到留存和活跃的目的。然而，利用atbroker.exe系统进程，实现病毒开机启动的方式并不常见。虽然该手法在2016年7月已经有被曝光，但是被发现的在野攻击却不多。不久前，某网友机子上的某杀毒软件不停的提示有挖矿（zec币）程序在运行，删除恶意程序后，下次开机还是会不停的出现。在一番苦心挖掘下，终于摸清了病毒的自启、躲避杀软的攻击手法。
随着主机安全的问题日渐突显，挖矿勒索后门等病毒隐蔽手法越来越多种多样，仅仅依靠传统的安全工具不能完全查杀出相关恶意程序。安全事件具有突发性，复杂性与专业性，基于windows的一些运行机制人工排查安全事件需要从多个方面去检查与清除，抛砖引玉提出以下思路供参考。
本文首先介绍了恶意挖矿攻击相关知识，然后重点分析恶意挖矿活动的现状，最后分别针对企业和个人分别提出了一些实用的防护措施和建议。
随着数字货币价值不断攀升，盗取用户计算机处理器的计算能力进行挖矿成为一门一本万利的暴利营生。自2017年爆发之后，近年来在挖矿木马全球范围持续活跃，每年都有大量主机和服务器被感染，已成为网络世界最主要的威胁之一。近日，腾讯安全发布《2019年度挖矿木马报告》，对挖矿木马种类、感染趋势、技术特点等进行全面分析，并有针对性地提出相关防御和处置建议。
命令:ps -ef | awk '{print}' | sort -n |uniq >1
终端安全厂商Minerva实验室近日发现了一个恶意软件，它可以在挖掘加密货币时完全逃避杀毒软件的检测。
XMR（门罗币）是目前比特币等电子货币的一种，以其匿名性，支持CPU挖矿，以及不菲的价格等特点，得到了“黑产”的青睐。瀚思科技挖掘出黑产利用互联网服务器进行挖矿的通用模式，以及多个挖矿后台更新服务器。
如果是Linux系统的话，见过最多的是CentOS 6，Linux是全命令界面的，
近日，火绒安全团队截获蠕虫病毒“MinerGuard”新变种，严重威胁企业用户。该病毒通过网络服务器漏洞以及暴力破解服务器的方式迅速传播，并且可跨平台（Windows、linux）交叉感染。病毒入侵电脑后，会释放挖矿病毒挖取门罗币。此外，病毒作者可随时通过远程服务器更新病毒模块，甚至利用以太坊（区块链平台）钱包更新病毒服务器地址。
最近安装或者更新流行BT下载客户端μTorrent 3.4.2 Build 28913的童鞋们要注意了，因为你可能已经在不经意间安装了一个比特币挖矿机。μTorrent是全球最流行的BT客户端之一，拥有超过1.5亿的月活跃用户。 捆绑安装 最近安装或者更新流行的BitTorrent客户端μTorrent 3.4.2 Build 28913的互联网用户，将会得到一个令人不愉快的“惊喜”——该应用程序在你的电脑上安装了一个比特币挖矿机。 正如下面的报道中所说： “使用μTorrent文件共享服务的用户正在抱
近几年，除勒索病毒外，挖矿木马也越来越流行，多为利用漏洞利用、“永恒之蓝下载器”、弱口令暴破等手段完成攻击，由于其具有较强的隐蔽性，会利用一些手段避开受害者活动时间，利用受害者空闲时间进行挖矿，长此以往，服务器、主机显卡或CPU长期占用过高，导致电脑性能降低，同时攻击者会利用已控制的挖矿主机攻击其他设备，导致业务中断甚至更严重的网络安全事件的发生。
当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。
云主机是企业数字化转型的重要基础设施，承载着重要的数据和服务价值，也逐渐成为了黑客的重点攻击对象。随着虚拟机、云主机、容器等技术的普遍应用，传统安全边界逐渐模糊，网络环境中的主机资产盲点成倍增加，黑客入侵、数据泄露、病毒木马攻击风险随之增加。 与此同时，各类数字加密货币价格迎来暴涨，2020年初至今，比特币价格一度超过了4万美元/BTC，是2019年底的10倍之多，达到了历史最高点，比特币一度摘取2020年度最佳持有资产的头衔。受比特币暴涨影响，各类数字虚拟币市值均有大幅增长，在如此大利益诱惑之下，通过传播挖矿木马来获取数字加密货币（以挖取门罗币最为普遍）的黑产团伙闻风而动，纷纷加入对主机计算资源的争夺之战。
没有GPU，深度学习就无法进行。但当你没有优化任何东西时，如何让所有的teraflops都被充分利用？ 最近比特币价格一路飙升，您可以考虑利用这些闲置的资源来获取利润。这并不难，你需要做的就是设置一个
根据C:/Windows/System32/b.txt产生的老的连接状态日志发现有大量外发扫描1433端口判断可能是通过SQL Server弱密码进来的。
勒索软件可以锁定你的电脑，并通过对数据进行加密来阻止你访问自己电脑中的文件，直到你向攻击者支付赎金才行，而非法挖矿软件利用的是目标用户设备的CPU算力以及电能来挖加密货币。这两种攻击在这两年里已经成为了广大用户面临的主要威胁，作为非针对性攻击而言，这两种攻击具有一定的相似性，因为它们不仅都需要从目标用户身上牟取利益，而且两者都涉及到加密货币。
随着虚拟货币的疯狂炒作，利用挖矿脚本来实现流量变现，使得挖矿病毒成为不法分子利用最为频繁的攻击方式。新的挖矿攻击展现出了类似蠕虫的行为，并结合了高级攻击技术，以增加对目标服务器感染的成功率，通过利用永恒之蓝（EternalBlue）、web攻击多种漏洞（如Tomcat弱口令攻击、Weblogic WLS组件漏洞、Jboss反序列化漏洞、Struts2远程命令执行等），导致大量服务器被感染挖矿程序的现象 。
近期，绿盟威胁情报中心（NTI）在一次应急响应中，发现一起使用模块化恶意工具集“NuggetPhantom（掘金幽灵）”的安全事件。据我们观测，本次安全事件背后的组织最早出现于2016年底，其曾在2016年底的“天翼校园客户端蓝屏事件”以及2017年底的“天翼校园客户端挖矿程序事件”中有所行动。
在对服务器进行例行性检查的时候，在一台ngix服务器的日志文件access.log里面发现了一些奇怪的访问记录，如下表所示。备注，这台Ngix 服务器安装windows10企业版操作系统，web服务器是nginx/1.12.2。
Bleeping Computer 网站披露，Lemon_Duck 僵尸网络运营商正在进行大规模 Monero 加密挖矿活动，Linux 服务器上的 Docker API 成为其主要攻击目标。
这两年见证了公司从600人发展到1200+的过程，虽然公司在安全投入上还算慷慨，但是人员编制有严格要求，一个人的安全部只能把精力放在基础/重点工作上。其中防病毒这块也是两年前才正式部署了企业版防病毒软件，推广过程中也遇到了很多阻力及各种奇葩的安全理念（比如生产服务器我不敢装防病毒，万一瘫了怎么办；领导的电脑，防病毒还是别装吧，装了会很慢），这期间也遇到多起病毒木马事件，每次我都会借助安全事件，狠狠的推一把防病毒软件，目前为止，已经实现所有PC和Windows服务器防病毒软件的百分百覆盖。现将几起病毒木马的处理过程整理一下跟大家分享，本系列偏向于实战。
近期，网上兴起一种“太极挂机”软件，声称只需下载运行该软件无需任何操作就能轻松挂机赚钱。360安全中心经分析发现，所谓的挂机网赚只是木马病毒的幌子。包括“太极挂机软件”在内的多款类似恶意程序一旦被用户下载并安装，不但会大量占用CPU资源进行挖矿操作，还会在用户机器上传播Ramnit感染型木马，更有甚者，直接给电脑添加上MBR密码使用户无法正常登录系统！
戳蓝字“IMWeb前端社区”关注我们哦！ 1写在前面 近日，腾讯安全反病毒实验室发现，有一类木马通过网页广告挂马的方式大规模传播。广告内容为色情链接，诱导用户点击。 链接中嵌入了一段触发IE漏洞的JS脚本，如果用户电脑的IE浏览器没有及时打好补丁，那么点击链接后将会中招。 木马除了给受害者电脑上添加后门、窃取隐私信息之外，还会运行数字货币挖矿的程序从中获利。同时反病毒实验室还发现，木马作者服务器上还保存着 linux 等平台的木马，以及大量受控服务器后台地址，有可能进一步发动挖矿等更大规模的攻击。 下面带
写在前面的话 在之前的文章中，我们给大家介绍了基于Web的挖矿恶意软件的相关内容。通过观察发现，越来越多的攻击者开始使用臭名昭著的Coinhive服务（允许网站使用目标用户硬件资源挖门罗币）来实施攻击
本文作者：zhenyiguo、jaryzhou、youzuzhang 2018年，区块链项目在这一年上演着冰与火之歌，年初火爆的比特币在一年时间内跌去八成。除了巨大的市场波动之外，区块链领域本身的安全问题也逐渐凸显，与之相关的社会化问题不断显现。 “勒索”、“盗窃”、“非法挖矿”是区块链项目数字加密货币的三大安全威胁，其中云主机用户面临的首要安全问题是非法挖矿。 非法挖矿一般分为基于文件的挖矿和基于浏览器的挖矿。由于云主机用户一般不使用浏览器访问网页，故基于浏览器的挖矿在公有云上并非较大的威胁。 反之，云
因为这次是从应急响应引出的，所以我将侧重点放在分析病毒本身的存储方式和传播途径，靠逆向分析出防护策略用于帮助后续的应急响应/系统加固/运维。
作为一个加密货币挖矿软件，StripedFly常年隐藏在一个支持Linux和Windows的复杂模块化框架后面。它配备了一个内置的TOR网络隧道，用于与命令控制（C2）服务器通信，同时通过可信服务（如GitLab、GitHub和Bitbucket）进行更新和交付功能，所有这一切都使用自定义加密归档。可以说，创建这个框架所付诸的努力确实十分了不起，同样地，它所披露的真相也相当惊人。
SSH是目前比较可靠的，专门为远程登录和会话其他网络服务提供安全性协议，主要用于给远程登录会话密码进行加密，保证数据传输安全，SSH口令长度太短或者复杂度不高，都会容易被破解，一旦攻击者获取，可用来直接登录系统，控制服务器所有权限。
近日，腾讯安全云鼎实验室监测到大量主机被入侵并添加了一个名为“vusr_dx$”的隐藏帐号；同时，云鼎实验室还监测到此类帐号被大量创建的同时存在对应帐号异地登录的情况。 Windows 的帐号名称后带着“$”符号时，不会在 net user 命令中显示出帐号信息，是攻击者常用的一种隐藏帐号的方法，一般开发者不会添加这种类型的帐号。云鼎实验室对该事件进行跟踪分析，还原了攻击者的入侵手法、入侵后的操作。 一、入侵手法分析 通过对所有被入侵并添加“vusr_dx$”隐藏帐号的主机进行分析统计，发现大多数主机都
近日，腾讯安全威胁情报中心检测到有挖矿、远控黑产团伙利用向日葵远控软件RCE漏洞攻击企业主机和个人电脑，已有部分未修复漏洞的主机、个人电脑受害。攻击者利用漏洞入侵后可直接获得系统控制权，受害主机已被用于门罗币挖矿。
本文是前段时间处理某用户被黑的分析总结，用户被黑的表现是使用爬虫访问用户网站的首页时会出现博彩关键字，而使用正常浏览器访问时无相关的博彩关键词。这是典型的黑帽SEO的表现，针对这种技术，前期文章已有相关分析，感兴趣的同学可以看一看。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
