• 定陶战役:示弱于敌重点围歼的范例 2019-03-20
  • 里约奥运变化与机遇并存 充分准备迎接挑战 2019-03-20
  • 我国居民人均预期寿命又提高了 2017年提高至76.7岁 2019-03-17
  • 【三年决战奔小康】一封来自甘南精准扶贫户的感谢信 2019-03-17
  • 新时代新平台新机遇“一带一路”大型网络主题活动 2019-03-15
  • 学生睡觉摔骨折 法院主动出击促调解 2019-03-07
  • 总览传奇般的——波尔多八大酒庄柏图斯波尔多 2019-03-07
  • 它不会比如何做好一餐饭的难度大,或者道理更多。 2019-03-02
  • 高清:中国男篮抵达洛杉矶 长途飞行队员略显疲惫 2019-02-27
  • 新疆非法转基因玉米案:4被告获刑 近三千亩涉案玉米被铲 2018-11-22
  • 湖北治理违规提取公积金 防止用公积金炒房 2018-11-21
  • 罗品禧的专栏作者中国国家地理网 2018-11-20
  • 武汉刚需买房可优先选房 2018-11-20
  • |
    |
    51CTO旗下网站
    |
    |
    移动端

    不剁手也吃土?可能是挖矿木马掏空你的钱包

    “剁手党”们终于度过了“双十一”这个令钱包变瘪的购物节,不过也有许多“佛系买家”并没有参与到这场狂欢中。但是,有几位“佛系”网友反映,自己虽然没有剁手买买买,却因为巨额电费而面临吃土的困境。

    作者:鸬晟来源:电波网|2018-11-13 12:28

    广东11选五精准计划 www.flxp.net “剁手党”们终于度过了“双十一”这个令钱包变瘪的购物节,不过也有许多“佛系买家”并没有参与到这场狂欢中。但是,有几位“佛系”网友反映,自己虽然没有剁手买买买,却因为巨额电费而面临吃土的困境。

    原来,这几位网友是由于电脑中不幸被植入了挖矿木马,不仅电费比以前多了不少,连电脑都变的卡慢无比,濒临退休。

    “挖矿木马”兴起于2012年,自2017年下半年开始进入普通网民视野,在2018年上半年依旧保持迅勐的发展速度。那么最近挖矿木马又有什么新趋势呢?

    2018年上半年每月遭到挖矿木马攻击的计算机数量变化趋势

    2018年上半年每月遭到挖矿木马攻击的计算机数量变化趋势

    Windows平台挖矿木马呈缓慢下降趋势

    下图展示了2018年下半年以来每日遭到挖矿木马攻击的计算机数量??梢钥闯?,到8月中旬达到最高峰之后,攻击开始呈现缓慢下降趋势,10月后数据基本稳定。

    2018年下半年每日遭到挖矿木马攻击的计算机数量

    2018年下半年每日遭到挖矿木马攻击的计算机数量

    造成挖矿木马攻击数量下降的直接原因是多个大型挖矿僵尸网络在8月至10月之间更新缓慢甚至停止更新。以Mykings挖矿僵尸网络为例,Mykings入侵时所使用的Download URL在8月、9月两个月未进行更新,这也导致在这两个月中Mykings的网络扩建基本停滞。

    Mykings僵尸网络2018年下半年所使用的Download URL列表

    Mykings僵尸网络2018年下半年所使用的Download URL列表

    攻击者也关注安全动态?

    而造成挖矿木马攻击数量下降另一个原因可能是2018年下半年公开的影响Web应用的漏洞POC相比较上半年和去年要少得多。

    下表展示了2018年以来较常被挖矿木马家族利用的Web应用漏洞,这些漏洞适用性广、漏洞利用代码编写简单,因此倍受挖矿木马家族喜爱。但这些漏洞的POC(漏洞概念验证)几乎都是2018年5月之前公开的,5月之后就极少有类似的POC被公开,也就很难被挖矿木马家族所使用。没有新的漏洞利用加入将导致挖矿木马家族更新速度减缓,而老漏洞被修补也会使得挖矿僵尸网络“入不敷出”。

    2018年被挖矿木马所利用的Web应用漏洞

    2018年被挖矿木马所利用的Web应用漏洞

    Web应用漏洞POC的公开对挖矿木马的影响如何?下图展示了WannaMine挖矿家族2018年4月到2018年5月每星期攻击的计算机数量变化趋势。

    由图中可见WannaMine家族攻击计算机数量在4月中旬后开始飙升,而Weblogic反序列化漏洞CVE-2018-2628的POC也正是在这个时候被公开。果不其然,国外安全厂商Morphus Labs发现了WannaMine家族在CVE-2018-2628的相关POC公开的数小时之后开始利用该漏洞进行攻击(https://morphuslabs.com/weblogic-exploited-in-the-wild-again-8b2047d1a9c4),这也和图中所示的攻击趋势吻合??杉?,每当有新的适用于挖矿木马家族入侵的Web应用漏洞POC被公开,必然会带来一波巨大的挖矿木马攻势。

    WannaMine挖矿家族2018年4月-5月攻击趋势

    WannaMine挖矿家族2018年4月-5月攻击趋势

    有趣的是,加密货币的价格与挖矿木马的攻击趋势并无明显关联。以绝大多数挖矿木马选择的币种门罗币为例。

    如图所示,门罗币兑美元价格在2017年底达到顶峰,从2018年开始快速跌落。但这并没有阻止挖矿木马的爆发,在这段时间挖矿木马反而发展迅勐。而8月之后,门罗币价格有些许回暖,挖矿木马攻击趋势反而缓慢下降??杉?,加密货币价格不是决定挖矿木马发展趋势的主要原因。

    门罗币价格2017年11月-2018年11月变化趋势

    挖矿木马在攻击形式上与其他木马并未有太大区别,多是通过漏洞利用、弱口令爆破、非法应用传播等其他木马也使用的手段完成攻击。挖矿木马与其他木马的区别在于获利方式,加密货币的出现为木马提供一种简单粗暴的获利方式,即使加密货币价格下跌,其收益依然不低于DDoS服务、加密勒索等其他获利方式。此外,挖矿木马的获利方式相比较其他获利方式在风险成本上也更可控——攻击不会造成太大动静、法律风险也相对较低。因此攻击者更看重的可能是挖矿木马的这些优点,而非加密货币的价格。

    针对PC的挖矿木马不容小视

    Windows服务器一直是挖矿木马的重灾区,下图展示了针对Windows服务器的挖矿木马与针对PC的挖矿木马在数量上的对比,针对Windows服务器的挖矿木马占比超过了80%。攻击者将目光集中于Windows服务器的主要原因是服务器无论在性能上或者是在用户接触频率上对于攻击者而言都是极度友好的——服务器的性能大部分要远高于个人电脑,并且服务器大多是“疏于看管”的,挖矿木马可以长期潜伏。

    针对Windows服务器的挖矿木马与针对PC的挖矿木马数量对比

    针对Windows服务器的挖矿木马与针对PC的挖矿木马数量对比

    不过这并不代表针对PC的挖矿木马可以被忽视。针对PC的挖矿木马家族OnesystemCareMiner、HiddenPowerShellMiner、飞熊矿业等家族仍然在活跃中。图7展示了针对PC的挖矿木马的主要传播渠道分布,其中网页挂马和破解软件是这类挖矿木马最为常见的传播渠道。

    针对PC的挖矿木马主要传播渠道分布

    针对PC的挖矿木马主要传播渠道分布

    挖矿家族竞争激烈

    在针对Windows服务器的挖矿木马家族中,具有僵尸网络性质的家族控制较多的设备,而不具备僵尸网络性质的家族只能在每次新的漏洞POC公开之后的一段时间发起一次或几次攻击,一旦攻击成功就植入挖矿木马,并不尝试对受害计算机进行持续控制,因此这类家族控制的资源较少。此外,不具有僵尸网络性质的挖矿木马家族数量要远大于具有僵尸网络性质的挖矿木马,因此每个家族能够瓜分到的资源更是少的可怜。

    挖矿木马家族性质以及占用资源分布

    挖矿木马家族性质以及占用资源分布

    如上图所示,具有僵尸网络性质的挖矿木马家族占据了85%的资源,这是不具有僵尸网络性质的挖矿木马家族的将近6倍之多,而这些资源只掌握在WannaMine、Mykings等几个家族手中。而另一边则呈现出了另一种场景——15%左右的资源被数十个家族瓜分,这也加剧了家族之间的竞争。

    在这种恶劣的竞争环境下,挖矿木马家族就需要一些特殊的技能让自己生存下来。“8220”组织就是具备这类技能的家族,除了在攻击代码中增加对抗其他挖矿家族的??橹?,“8220”组织还会时刻记录被入侵的机器信息以便在挖矿程序被安全软件或者被其他挖矿家族清除之后能够第一时间再次入侵机器植入挖矿木马。

    这里有一组有趣的数据,如图所示,在“8220”家族在5月初更新载荷下载URL前后(图中红框所标出的条目),其入侵成功的计算机数量几乎不变,可见“8220”家族虽然不具有僵尸网络性质,但其仍然能将受害机器控制在手中。

    “8220”挖矿木马家族5月初更新前后入侵计算机数量对比

    “8220”挖矿木马家族5月初更新前后入侵计算机数量对比

    随着漏洞利用的“小白化”,将会有更多攻击者加入这场资源争夺战中,不过资源只留给有准备的人,大多攻击者会渐渐消失在这个舞台上。

    横向渗透是Mimikatz和“永恒之蓝”的天下

    对于具有横向渗透功能的挖矿木马家族,Mimikatz和“永恒之蓝”漏洞几乎是所有这类家族所使用的武器。这些家族中将近70%的家族带有“永恒之蓝”传播???,30%的家族带有Mimikatz横向渗透???,如图所示。

    使用Mimikatz和“永恒之蓝”漏洞进行横向渗透的家族比例

    使用Mimikatz和“永恒之蓝”漏洞进行横向渗透的家族比例

    当然,这两款横向渗透利器不仅仅在挖矿木马家族中受欢迎,在其他攻击领域也被广泛使用,主要原因还是在于其功能强大并且操作简单,无论是对于新手还是对于专业黑产人员都是极其友好的。

    最后,说了这么多挖矿木马趋势,有没有什么防护建议?

    Windows服务器挖矿木马防护建议:

    • 及时为系统打补丁。避免漏洞攻击;
    • 及时更新Web服务端、数据库等对外开放服务的应用到最新版本,避免漏洞攻击;
    • 使用强度高的Windows登录密码以及Web应用、数据库登录密码,防御弱口令爆破攻击;
    • 安装杀软软件或服务器安全软件防御挖矿木马攻击。

    PC挖矿木马防护建议:

    • 及时为系统打补丁。避免漏洞攻击;
    • 不打开来历不明的文档,以及带有图片、文件夹、文档、音视频等图标的文件;
    • 不浏览被安全软件提示为恶意的站点;
    • 不安装来历不明的软件、外挂等,不打开被安全软件标记为恶意的文件;
    • 安装杀毒软件防御挖矿木马攻击。

    【编辑推荐】

    【责任编辑:赵宁宁 TEL:(010)68476606】

    点赞 0
    分享:
    大家都在看
    猜你喜欢

    订阅专栏+更多

    活学活用 Ubuntu Server

    活学活用 Ubuntu Server

    实战直通车
    共35章 | UbuntuServer

    218人订阅学习

    Java EE速成指南

    Java EE速成指南

    掌握Java核心
    共30章 | 51CTO王波

    83人订阅学习

    Mysql DBA修炼之路

    Mysql DBA修炼之路

    MySQL入门到高阶
    共24章 | 武凤涛

    471人订阅学习

    读 书 +更多

    八万里路云和月——一个国家扶贫开发工作重点县的

    通榆,这个距离各个交通枢纽都十万八千里的偏僻小县城,搭载着电子商务的快车,踏上了云高速,开辟了如火如荼的电商致富的新战场,实现了一...

    订阅51CTO邮刊

    点击这里查看样刊

    订阅51CTO邮刊

    51CTO服务号

    51CTO播客

    广东11选五精准计划
  • 定陶战役:示弱于敌重点围歼的范例 2019-03-20
  • 里约奥运变化与机遇并存 充分准备迎接挑战 2019-03-20
  • 我国居民人均预期寿命又提高了 2017年提高至76.7岁 2019-03-17
  • 【三年决战奔小康】一封来自甘南精准扶贫户的感谢信 2019-03-17
  • 新时代新平台新机遇“一带一路”大型网络主题活动 2019-03-15
  • 学生睡觉摔骨折 法院主动出击促调解 2019-03-07
  • 总览传奇般的——波尔多八大酒庄柏图斯波尔多 2019-03-07
  • 它不会比如何做好一餐饭的难度大,或者道理更多。 2019-03-02
  • 高清:中国男篮抵达洛杉矶 长途飞行队员略显疲惫 2019-02-27
  • 新疆非法转基因玉米案:4被告获刑 近三千亩涉案玉米被铲 2018-11-22
  • 湖北治理违规提取公积金 防止用公积金炒房 2018-11-21
  • 罗品禧的专栏作者中国国家地理网 2018-11-20
  • 武汉刚需买房可优先选房 2018-11-20