KoiMiner挖礦木馬變種入侵 控制超5000臺SQL Server伺服器

2022-01-20 騰訊安全威脅情報中心

一、概述
騰訊御見威脅情報中心近期發現KoiMiner挖礦木馬變種，該變種的挖礦木馬已升級到6.0版。木馬作者對部分代碼加密的方法來對抗研究人員調試分析，木馬專門針對企業SQL Server 伺服器的1433埠爆破攻擊進行蠕蟲式傳播。騰訊御見威脅情報中心監測數據發現，KoiMiner挖礦木馬已入侵控制超過5000臺SQL Server伺服器，對企業數據安全構成重大威脅。該病毒在全國各地均有分布，廣東、山東、廣西位居前三。

騰訊安全專家建議企業網管對SQL Server伺服器做重點加固，停止使用簡單密碼，防止伺服器被黑客暴力破解入侵。網管亦可在伺服器部署騰訊御點終端安全管理系統防範此類病毒入侵。

騰訊御點攔截KoiMiner挖礦木馬


與2018年7月發現的KoiMiner對比，該變種具有以下變化：
1、全部代碼加密改為部分代碼加密；
2、Apache Struts2漏洞攻擊改為SQL Server 1433埠爆破；
3、下載的挖礦木馬由直接下載PE可執行文件改為從圖片中獲取二進位代碼再生成本地執行的挖礦木馬。
 

KoiMiner挖礦木馬攻擊流程


攻擊時Sqlbrowser.exe從C2伺服器獲取動態配置的IP列表（從病毒下載的掃描目標IP段看，攻擊範圍十分廣泛）、埠列表並進行埠掃描，然後對開放1433埠的IP使用C2地址獲取的user列表、password列表進行爆破登錄，登錄成功後執行sql.txt中的shellcode代碼。

Shellcode首先修復SQL的存儲過程xp_cmdshell、sp_addextendedproc，然後註冊多個com組件以便於惡意代碼執行，然後嘗試結束殺毒軟體和taskmgr進程，最後通過寫入二進位數據流的形式創建並保存文件o6.exe、x64.exe、sqlbrowser.exe。

o6.exe利用微軟MS16-032漏洞進行提升權限，然後執行x64.exe進行門羅幣挖礦作業，並啟動sqlbrowser.exe對網絡中的其他SQL Server伺服器進行蠕蟲式攻擊。

二、詳細分析

埠爆破
爆破模塊sqlbrowser.exe使用C#編寫，部分代碼使用加密函數進行加密，運行過程中調用JvcPLNnlO0s99rHu6y進行解密。

主要類功能如下：

Crack…………密碼猜解
Exec…………執行SqlCommand（shellcode）
GetConfigInfo…… 獲取配置文件
Program…………主類
Scan…………埠掃描

掃描的IP段列表：1.0.0.0 - 223.255.255.255

埠、用戶名、密碼字典

 

獲取配置文件ipsList、userList、passwordList、sqlLis

對IP進行埠掃描

密碼爆破

Shellcode分析

埠爆破後執行shellocde，shellcode通過多個C2地址動態配置。
以hxxp://18.205.168.2/tinnoota/upload/33/1072/config/ini/sql.txt為例進行分析。

準備階段

恢復SQL的儲存過程xp_cmdshell和sp_addextendedproc，通過重載xpstar.dll、xplog70.dll、odsole70.dll恢復儲存擴展，然後利用擴展函數來執行服務操作、註冊表操作、文件操作、進程操作等命令行。

通過xp_servicecontrol啟動SQLSERVERAGENT服務，通過sp_configure啟用Ad Hoc Distributed Queries和Ole Automation Procedures，從而更方便進行遠程操作。

通過寫註冊表Software\Policies\Microsoft\Windows\System取消CMD命令提示符禁用，寫註冊表SOFTWARE\Microsoft\Jet\4.0\Engines打開沙盒模式，刪除註冊表SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options中的多個鍵：

regini.exe
secedit.exe
ftp.exe
cacls.exe
net1.exe
icacls.exe
cmd.exe
sethc.exe
wscript.exe

通過註冊表寫HKEY_CLASSES_ROOT\CLSID來註冊以下COM對象

Microsoft.Jet.OLEDB.4.0
JavaScript1.1
Scripting.FileSystemObject
Microsoft.XMLHTTP.1.0

通過{72C24DD5-D70A-438B-8A42-98424B88AFB8}（WScript.Shell）執行secedit.exe /configure /db secedit.sdb設置以下文件的安全屬性

c:\windows\system32\cmd.exe
c:\windows\system32\ftp.exe
c:\windows\system32\cacls.exe
c:\windows\system32\net1.exe
c:\windows\system32\regini.exe
c:\windows\system32\net1895.exe
c:\Program Files\Common Files\System\ado\msado15.dll 

通過Scripting.FileSystemObject刪除以下目錄：

c:\Documents and Settings\Default User\Local Settings\Temporary Internet Files\Content.IE5\*;
c:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\*;
c:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\*;
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\*;


然後通過{72C24DD5-D70A-438B-8A42-98424B88AFB8}（WScript.Shell）創建Sethc.ini、Sethd.ini並分別寫入以下內容，然後通過regini將其添加至註冊表：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options [2 8 18]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options [1 7 17]

劫持註冊表粘滯鍵功能，替換成任務管理器。

通過microsoft.jet.oledb.4.0設置以下文件完全訪問權限：

c:\windows\system32\cmd.exe
c:\windows\system32\ftp.exe
c:\windows\system32\icacls.exe
c:\windows\system32\cacls.exe
c:\windows\system32\wscript.exe


然後嘗試結束殺毒軟體進程：

360sd.exe
360tray.exe
360safe.exe
ZhuDongFangYu.exe
360leakfixer.exe
AhnSD.exe
alg.exe
ACASP.exe
AYAgent.exe
msseces.exe
KSafetray.exe
KSafe.exe

嘗試通過三種不同的方法註冊以下組件：

scrrun.dll
wshom.ocx
urlmon.dll
shdocvw.dll
jscript.dll
vbscript.dll


select * from openrowset('microsoft.jet.oledb.4.0',';database=ias\ias.mdb','select shell("regsvr32 scrrun.dll wshom.ocx urlmon.dll shdocvw.dll jscript.dll vbscript.dll /s")');

declare @shell00 int exec sp_oacreate 'wscript.shell',@shell00 output exec sp_oamethod @shell00,'run',null,'command.com /c regsvr32 scrrun.dll wshom.ocx urlmon.dll shdocvw.dll jscript.dll vbscript.dll /s';

declare @shell00 int exec sp_oacreate 'wscript.shell',@shell00 output exec sp_oamethod @shell00,'run',null,'regsvr32 scrrun.dll wshom.ocx urlmon.dll shdocvw.dll jscript.dll vbscript.dll /s';

Payload植入

通過xp_cmdshell、wscript.shell、microsoft.jet.oledb.4.0三種方法嘗試以下操作：

1、結束進程taskmgr.exe
2、創建以下目錄：

C:\ProgramData
C:\ProgramData\DataFiles
C:\ProgramData\DataFiles\Microsoft
C:\ProgramData\DataFiles\Microsoft\Fonts
C:\ProgramData\DataFiles\Microsoft\Temp
C:\ProgramData\DataFiles\Microsoft\Browser
C:\ProgramData\DataFiles\Microsoft\Images

通過創建並寫入二進位數據流ADODB.Stream的方法，創建以下文件並將三段二進位文本數據分別寫入：

C:\ProgramData\DataFiles\Microsoft\Fonts\o6.exe
C:\ProgramData\DataFiles\Microsoft\Fonts\x64.exe
C:\ProgramData\DataFiles\Microsoft\Images\sqlbrowser.exe

二進位數據開始

二進位數據結束


最後通過三種方法執行生成的文件，命令行參數如下：

C:\ProgramData\DataFiles\Microsoft\Fonts\x64.exe
C:\ProgramData\DataFiles\Microsoft\Fonts\o6.exe x64.exe
C:\ProgramData\DataFiles\Microsoft\Images\sqlbrowser.exe 20181101


x64.exe挖礦木馬，o6.exe利用漏洞提權並執行x64.exe，sqlbrowser.exe 進行新一輪SQL爆破攻擊，從參數中的「20181101」代表的日期來看，惡意代碼仍在不斷維護更新中。

提權木馬o6.exe


利用Windows輔助登錄服務漏洞MS16-032提升權限

然後以高權限創建指定進程

挖礦木馬x64.exe

使用C#編寫，部分代碼使用加密函數進行加密，運行過程中調用JvcPLNnlO0s99rHu6y進行解密。

主要類功能如下：

CreateFileByHex…………將下載的二進位創建PE文件
ExecCommand…………啟動指定文件
MainEntrance…………控制挖礦進程、保護進程啟動及停止
ProExecution…………創建挖礦文件路徑、命令行，結束殺軟
Program…………主類
ProtectEntrance…………監控重啟挖礦進程、結束其他高佔用CPU進程
SetFileAttritubes…………設置文件隱藏、系統權限可讀屬性以及安全屬性
TheFirstRun…………首次運行複製自身到指定目錄、判斷是否具有admin權限、創建互斥體



首次運行後將自身命名為csrss.exe並拷貝到以下兩個目錄

C:\ProgramData\Microsoft Labs\NetFramewor\BreadcrumbStore\Main\
C:\ProgramData\Microsoft Labs\NetFramewor\BreadcrumbStore\Protect\

csrss.exe從211.54.150.94下載logo_6.gif，然後將其中的二進位數據寫入App目錄下創建的lsass.exe


lsass.exe為開源門羅幣挖礦木馬XMRig

csrss.exe啟動挖礦木馬lsass.exe，啟動參數：

-a cryptonight -o stratum+tcp://pool.supportxmr.com:3333 -u 48ojQAPbQCY5j75Hshe1mXKSAe3db6NVRAxsiMxS7rMNcEGE1mKGW1eETRamd1cKgRHCtqdTnEUu6NEKKSGXVugN9q2WVM8 -p x --donate-level=1 --retries=10 --max-cpu-usage=50 -k -o stratum+tcp://fr.minexmr.com:80 -u 48ojQAPbQCY5j75Hshe1mXKSAe3db6NVRAxsiMxS7rMNcEGE1mKGW1eETRamd1cKgRHCtqdTnEUu6NEKKSGXVugN9q2WVM8 -p x --donate-level=1 --retries=1 --max-cpu-usage=50

礦池：

pool.supportxmr.com
fr.minexmr.com


錢包信息：

錢包信息顯示，KoiMiner變種控制的錢包已收穫20餘個門羅幣，按最新市價，約相當於1.5萬元人民幣。

三、安全建議
1.加固SQL Server伺服器，修補伺服器安全漏洞。使用安全的密碼策略 ，使用高強度密碼，切勿使用弱口令，特別是sa帳號密碼，防止黑客暴力破解。

2.修改SQL Sever服務默認埠，在原始配置基礎上更改默認1433埠設置，並且設置訪問規則，拒絕1433埠探測。

3.使用騰訊御知網絡空間風險雷達（網址：https://s.tencent.com/product/yuzhi/index.html）進行風險掃描和站點監控。

4.網站管理員可使用騰訊雲網站管家智能防護平臺（網址：https://s.tencent.com/product/wzgj/index.html），該系統具備Web入侵防護，0Day漏洞補丁修復等多緯度防禦策略，可全面保護網站系統安全。

IOCs（部分）


IP

174.142.80.200
14.47.196.12
125.130.59.163
202.123.183.164
14.33.33.206
221.208.189.96
118.24.16.150
175.6.23.2
211.54.150.94
112.217.125.67
211.112.25.235
111.230.101.122
61.77.166.215
18.205.168.2
211.197.75.71


URL

hxxp://211.112.25.235/ezon/sw/SWFT/Image/user/web/port.txt
hxxp://211.112.25.235/ezon/sw/SWFT/Image/user/web/password.txt
hxxp://211.112.25.235/ezon/sw/swft/image/user/web/sql.txt
hxxp://211.112.25.235/ezon/sw/swft/image/user/web/ip.txt
hxxp://211.112.25.235/ezon/sw/SWFT/Image/user/web/user.txt
hxxp://211.112.25.235/ezon/sw/swft/image/user/web/port.txt
hxxp://174.142.80.200:8080/cameo/fonts/config/ini/files//x32.txt
hxxp://174.142.80.200:8080/cameo/fonts/config/ini/files//n64.txt
hxxp://174.142.80.200:8080/cameo/fonts/config/INI/Files//n32.txt
hxxp://14.47.196.12/ezon/images/xmr64.png
hxxp://125.130.59.163/ezon/images/xmr64.png
hxxp://202.123.183.164/application/partol/images/xmr64.png
hxxp://14.33.33.206/ezon/images/xmr64.png
hxxp://14.33.33.206/ezon/images/xmr32.png
hxxp://221.208.189.96:81/skin/red/images/xmr32.png
hxxp://221.208.189.96:81/skin/red/images/xmr64.png
hxxp://211.54.150.94/ezon/images/img/logo_6.gif



礦池：

pool.supportxmr.com
fr.minexmr.com

錢包：

48ojQAPbQCY5j75Hshe1mXKSAe3db6NVRAxsiMxS7rMNcEGE1mKGW1eETRamd1cKgRHCtqdTnEUu6NEKKSGXVugN9q2WVM8
463tGbooc85VubSo9TjhjLegtVvBQD6qPVJ3LxDoNrtKexAqcyDkoqm9p32MrDoMWcSmWz41EKbxL3AKPJyCjCmcTPZ96
47Uvt85TgZzHkveaTed69jhY4CSN8334BUufUtmaoLSNJadf2BoxxroHm5evYqQy4NJeyVBYYtGK8SHSAtFSiW6aDztDs
48gzbYzJ5mGE6QWQM8F7fKLk46UCoDbQEfeudysEjmifTroCKRmwvoyUGrSMjwy95ZeMrHoURhnFY5LJ9qaYW8FiFoimegp


md5

229dadc6f3a80867d1fa9dae2c26f972
f1d92506cafd52be6b712f866fa274d4
1c68d7254d8907e2f2ee080440d3fe88
8e304c6af1853c1411698172aca4076f
e0d6ea4d42cb00c5427d391c97ba36c8
8ecf43d3b5d2357f89365198528951c0
e8d3fd8f108ed61acddbd20e0740d105
8a068ebbc1428f074884f66c616f6737
5a5462f1847306cb759d6c7abed60af5
64614e399a0aaed26db2a28d145abc68
c5b0b4c325a74cdc13ebf7135f6dcb3a
fb6aafeed4007c183e981b77c73c66ac
72541d0fd0bbda790794d4f2a152aa4e
1b6afd9198fed9b66eafa1d38a365cb3
4a2126ec9c7227144cb857da81e02d27
02e547abb48390e4558bcff8cbbf6be4
02638f1cb23ec5c2ceeca354ee36b11a



相關焦點

  • WannaMiner挖礦木馬不光擅長黑吃黑,最新變種還會過河拆橋
    XMR（門羅幣）同時還會下載遠程控制木馬，為了獨佔系統資源，這個WannaMiner挖礦木馬的最新變種會查殺其他挖礦木馬。同時，該變種在入侵成功後會關閉高危埠，避免其他挖礦木馬入侵，其目的同樣是保證獨享挖礦資源。此外，經過分析發現，該變種除了跟友商發布的MsraMiner家族在漏洞利用和惡意基礎設施上高度一致，跟友商今年六月爆出的另一個家族HSMiner如出一轍。因此我們判斷，WannaMiner、MsraMiner、HSMiner實際為同一家族的不同命名，背後為同一黑產團夥。
  • 騰訊主機安全(雲鏡)捕獲挖礦木馬4SHMiner,已有1.5萬臺伺服器受害
    4SHMiner挖礦團夥入侵成功後會執行命令下載4.sh，然後下載XMRig挖礦木馬並通過Linux service、systemctl服務，系統配置文件$HOME/.profile，crontab定時任務等實現持久化運行。
  • RunMiner挖礦木馬攻擊,約1.6萬臺伺服器淪陷
    RunMiner挖礦團夥入侵成功後會執行命令反彈shell連接到C2伺服器對肉雞系統進行遠程控制，然後繼續下載執行Run.sh，下載XMRig挖礦木馬tcpp進行門羅幣挖礦，病毒通過安裝定時任務進行持久化。 據RunMiner挖礦木馬使用的門羅幣錢包算力(約268.6KH/s)推算，該挖礦團夥已控制約16000臺伺服器執行挖礦任務。
  • NSABuffMiner挖礦木馬霸佔某校園伺服器,非法獲利115萬元
    rundllhost.exe的挖礦木馬。分析後發現該木馬是NSASrvanyMiner挖礦木馬的變種，此木馬同樣利用NSA武器工具在內網攻擊傳播，而該伺服器存在未修復的ms17-010漏洞，因此受到攻擊被利用挖礦。
  • 「Blouiroet」挖礦木馬復甦,控制多國肉雞電腦挖礦
    兩年之後，雖有大部分企業及個人用戶已經安裝補丁，但仍有相當多的伺服器在倔強「裸奔」，黑客團夥仍然可以頻頻利用該系列攻擊工具肆意傳播病毒木馬。近期由於各種加密虛擬幣市場回暖，挖礦木馬變得更為活躍。騰訊安全御見威脅情報中心監測到「Blouiroet」挖礦木馬復甦，該木馬由delphi語言編寫，木馬運行時，會首先結束所有其他挖礦木馬進程，獨佔系統資源運行門羅幣挖礦程序。
  • 廣東重慶多家三甲醫院伺服器遭暴力入侵,黑客趕走50餘款挖礦木馬獨享挖礦資源
    0x1 背景騰訊御見威脅情報中心近期檢測到廣東、重慶多家三甲醫院伺服器被黑客入侵，攻擊者暴力破解醫院伺服器的遠程登錄服務
  • 比特幣爆漲,打響挖礦木馬圍攻雲主機的發令槍,SupermanMiner衝上來了
    騰訊安全威脅情報中心檢測到利用Redis未授權訪問漏洞直接寫入計劃任務，下載用golang語言編寫的挖礦木馬下載器superman，根據挖礦算力推測該團夥已控制約1萬臺失陷系統進行門羅幣挖礦。騰訊安全近期已捕獲較多利用golang語言編寫的各類腳本木馬，這些木馬利用多個不同linux伺服器組件的高危漏洞或弱密碼入侵雲伺服器挖礦。
  • 騰訊主機安全(雲鏡)捕獲RunMiner挖礦木馬攻擊,約1.6萬臺伺服器淪陷
    RunMiner挖礦團夥入侵成功後會執行命令反彈shell連接到C2伺服器對肉雞系統進行遠程控制，然後繼續下載執行Run.sh，下載XMRig挖礦木馬tcpp進行門羅幣挖礦，病毒通過安裝定時任務進行持久化。 根據RunMiner挖礦木馬使用的門羅幣錢包算力(約268.6KH/s)推算，該挖礦團夥已控制約16000臺伺服器執行挖礦任務。
  • 騰訊主機安全(雲鏡)捕獲TeamTNT木馬,該木馬利用Docker高危漏洞入侵雲伺服器挖礦
    Docker Remote API的2375 非必要情況不要暴露在公網，如必須暴露公網 ，則需要配置訪問控制策略；2.排查當前主機docker的容器，是否存在非正常容器，將其停止並刪除；3.排查.ssh/authorized_keys、/etc/passwd、/etc/shadow是否被修改或者被新增用戶；4.排查是否存在以下文件，如存在以下文件，確認其md5
  • 【01.06】安全幫每日資訊:TOPMiner挖礦木馬被截獲,受害伺服器約1.5萬臺;PayPal遭受簡訊網絡釣魚活動
    騰訊主機安全截獲 TOPMiner 挖礦木馬，受害伺服器約 1.5 萬臺騰訊主機安全
  • 瑞星首家截獲DTLMiner挖礦病毒最新變種
    DTLMiner的最新變種，作為一個針對企業的挖礦病毒，一旦中毒就會導致計算機變得非常卡頓，無法正常運行。而且，此最新變種目前已在北京、四川、新疆等地出現感染記錄，值得廣大企業用戶警惕！ 目前，瑞星終端安全管理軟體和瑞星旗下具備殺毒功能的產品均已具備對該木馬的防禦和查殺能力，廣大瑞星用戶可升級至最新版本。
  • 五千臺電腦淪為挖礦「黑勞工」
    近日，騰訊安全御見威脅情報中心發文稱，他們檢測到通過社會工程騙術傳播的「老虎」挖礦木馬（LaofuMiner）。攻擊者將遠控木馬程序偽裝成「火爆新聞」、「色情內容」等文件名，在網絡上大肆傳播，不慎點擊者便會立即中招，電腦變得異常卡頓，淪為給黑產團夥挖礦的苦力。 據統計，「老虎」木馬已感染超過5000臺電腦。
  • 騰訊安全威脅事件月報(2020年12月):挖礦木馬有較明顯上升
    12月3日，RunMiner挖礦木馬通過Apache Shiro反序列化漏洞（CVE-2016-4437）攻擊雲伺服器，約1.6萬臺伺服器淪陷；12月11日，檢測到Prometei殭屍網絡針對雲伺服器的攻擊行動，該殭屍網絡此前只針對Windows系統，最新變種通過SSH弱口令爆破入侵Linux系統，並在感染機器後植入挖礦程序；12月15日，發現TeamTNT
  • 2018年Windows伺服器挖礦木馬報告
    第二章 2018年挖礦木馬詳解一、挖礦木馬攻擊目標分布針對Windows伺服器的挖礦木馬除少部分利用Windows自身漏洞外，更多的是利用搭建在Windows平臺上的Web應用或資料庫的漏洞入侵伺服器。圖5展示了2018年針對Windows伺服器的挖礦木馬攻擊目標分布。
  • 永恆之藍下載器最新變種重啟EXE文件攻擊,新變種已感染1.5萬臺伺服器
    ，此次變種利用Python打包EXE可執行文件進行攻擊，該組織曾在2018年底使用過類似手法。騰訊安全大數據監測數據顯示，永恆之藍下載器最新變種出現之後便迅速傳播，目前已感染約1.5萬臺伺服器，中毒系統最終用於下載運行門羅幣挖礦木馬。永恆之藍下載器木馬在不斷演進更新過程中，曾將EXE攻擊方式逐步切換到利用Powershell腳本實現無文件攻擊。
  • 陝西多家企業網站被植入JS網頁挖礦木馬,幕後黑手疑為同一攻擊者
    ，發現該公司設計的多個網站均存在植入JS網頁挖礦木馬的情況。網頁被植入挖礦代碼，不排除有人蓄意利用這些企業網站牟取私利，亦可能是該網站已被黑客入侵的標誌。二、詳細分析1、陝西某燃氣熱力協會網站被植入JS挖礦程序
  • watchdogs變種挖礦木馬分析
    ，且無法修改或刪除，青藤實驗室安全團隊已對相關挖礦樣本進行分析。Watchdogs挖礦木馬通過Redis未授權訪問漏洞對伺服器進行入侵，然後植入挖礦程序並下載內網掃描爆破程序，通過爆破區域網中的ssh、Redis伺服器或者遍歷伺服器.ssh/known_hosts文件中的主機實現免密登錄進行橫向傳播。此木馬有較強的自我隱藏能力，不易發現。
  • 100萬臺高配電腦竟淪為「挖礦機」?
    該公司位於遼寧大連，是大連高新技術企業，其通過網吧、吃雞外掛、盜版視頻軟體等渠道傳播投放木馬，控制了 389 萬臺電腦，用於數字加密貨幣挖礦、強制廣告等非法業務，合計挖掘 DGB（極特幣）、HSR（紅燒肉幣）、XMR（門羅幣）、SHR（超級現金幣）、BCD（比特幣鑽石）、SIA（雲儲幣）等各類數字貨幣超過 2000 萬枚，非法獲利 1500 餘萬元。
  • SystemdMiner、H2Miner挖礦木馬利用相同的PostgreSQL漏洞攻擊雲伺服器
    這意味著，存在漏洞的伺服器可能同時被多個挖礦木馬團夥掃描入侵，如果不同挖礦木馬火力全開同時挖礦，伺服器就有徹底癱瘓的風險。騰訊安全專家建議政企機構用戶儘快修復漏洞，避免淪為黑客控制的肉雞。SystemdMiner、H2Miner均是目前流行的挖礦木馬，擅長利用各類Web應用漏洞進行批量攻擊傳播。
  • Linux挖礦木馬檢測與產品化
    ，被植入挖礦木馬的伺服器會出現CPU使用率飆升、系統卡頓、業務服務無法正常使用等情況，嚴重影響企業上雲的信心。0x01、Linux挖礦木馬攻擊手段本文主要講述的是Linux作業系統挖礦行為，因為絕大部分公有雲伺服器安裝的是linux作業系統，佔比維持在70~80%。