腾讯御见威胁情报中心检测到挖矿木马家族Lcy2Miner感染量上升，工程师对该病的感染进行回溯调查。结果发现，有攻击者搭建多个HFS服务器提供木马下载，并在其服务器web页面构造IE漏洞攻击代码。当存在漏洞的电脑被诱访问攻击网页时，会触发漏洞下载大灰狼远程控制木马。接着由远控木马下载门罗币挖矿木马和“永恒之蓝”漏洞攻击模块，然后利用“永恒之蓝”漏洞攻击工具在企业内网攻击传播，最终攻击者通过组建僵尸网络挖矿牟利。截止目前该团伙已通过挖矿获得门罗币147个，市值约6.5万元人民币。数据显示，该团伙控制的Lcy2Miner挖矿木马已感染超过2万台电脑，影响众多行业，互联网服务、批发零售业、科技服务业位居前三。从病感染的地区分布来看，Lcy2Miner挖矿木马在全国大部分地区均有感染，受害最严重的地区为北京、广东、河南等地。
声音 | 腾讯御见：挖矿资源争夺加剧，WannaMine多种手法驱赶竞争者:腾讯御见威胁情报中心今日发文表示，腾讯安全御见威胁情报中心检测到WannaMine挖矿僵尸网络再度更新，WannaMine最早于2017年底被发现，主要采用Powershell“无文件”攻击组成挖矿僵尸网络。更新后的WannaMine具有更强的传播性，会采用多种手法清理、阻止竞争木马的挖矿行为，同时安装远控木马完全控制中系统。更新后的WannaMine病具有以下特点：
1.利用“永恒之蓝”漏洞攻击传播；
2.利用mimiktaz抓取域登录密码结合WMI的远程执行功能在内网横向移动；
3.通过添加IP策略阻止本机连接对手木马的47个矿池，阻止其他病通过“永恒之蓝”漏洞入侵；
4.添加计划任务，WMI事件消费者进行持久化攻击，删除“MyKings”病的WMI后门；
5.利用COM组件注册程序regsvr32执行恶意脚本；
6.利用WMIClass存取恶意代码；
7.在感染机器下载Gh0st远控木马conhernece.exe和门罗币挖矿木马steam.exe。[2020/1/7]
分析 | 腾讯御见：“Blouiroet”挖矿木马复苏 控制多国肉鸡电脑挖矿:4月23日，腾讯御见发文称，近期由于各种加密虚拟币市场回暖，挖矿木马变得更为活跃。腾讯安全御见威胁情报中心监测到“Blouiroet”挖矿木马复苏，该木马由delphi语言编写，木马运行时，会首先结束所有其他挖矿木马进程，独占系统资源运行门罗币挖矿程序。“Blouiroet”挖矿木马复苏之后，首先更新多个IP、域名等基础设施，该木马团伙还自建多个矿池，堪称“家里有矿”。“Blouiroet”挖矿木马控制的肉鸡电脑分布在多个国家，俄罗斯、乌克兰等地受害严重，中国有部分电脑系统中招。[2019/4/23]
动态 | 腾讯御见：永恒之蓝木马下载器再升级，可执行“无文件”形式挖矿攻击:腾讯安全御见威胁情报中心4月3日检测到永恒之蓝下载器木马再次更新，此次更新改变了原有的挖矿木马执行方式，通过在Powershell中嵌入PE文件加载的形式，达到执行“无文件”形式挖矿攻击。新的挖矿木马执行方式没有文件落地，直接在Powershell.exe进程中运行，可能造成难以检测和清除。[2019/4/5]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。