挖矿木马防御方法+应急处理大全

一、为什么会有挖矿木马

以比特币为例，如果没有没人挖矿，就生成不了新的区块，区块链就不会增加，那么比特币就没法进行交易，无法进行流通。为了保证不断有人进行挖矿，不断有新的区块产生，保证区块链的增长，在中本聪论文描述的比特币世界中，全网平均每10分钟产出一个区块，每区块包含50(现在是12.5，比特币每四年左右减半一次)个比特币，而一个区块只可能被某个幸运儿挖走，直接拥有里面的比特币，其他人则颗粒无收，挖到的概率与矿工投入的设备算力大小成正比。这就注定了如果比特币挖矿参与人数庞大且分散到一定程度后，挖到比特币的概率将无限接近于零，跟中彩票差不多。或许投入一台矿机挖矿，按照概率，要5~10年才能开采到一个区块，这使比特币挖矿陷入尴尬境地，催生出大量的挖矿木马。

三、未雨绸缪，防范未然

1、首先我们可以开启Windows防火墙，并关闭445、135、137、138、139端口双向流量，关闭网络共享功能。 步骤如下：

• 「控制面板」>「Windows防火墙」>「打开或关闭Windows防火墙」>「启用Windows防火墙」

• 在「Windows防火墙」的「高级设置」中新建「入站规则」，「规则类型」选择「端口」

• 规则应用于「TCP」，「特定本地端口」填入「135,137-139,445」

• 选择「阻止连接」操作

• 将规则应用于「域」、「专用」、「公用」，并设置规则名称即可。出站规则依此类推。

• 停止网络共享服务，在命令行中属于以下命令，禁用并停止Windows共享相关服务

        sc configBrowser start= disabled

        sc stopBrowser

        sc configLanmanServer start= disabled

       scstop LanmanServer

2、如果有部署安全设备要尽可能及时保持更新，例如山石网科防火墙AV及IPS特征库升级至最新版本，同时设置阻断策略。

IPS 规则设置方法：

「对象」>「入侵防御」>「模板」，点击「新建」，规则如下：

设置完毕在策略中绑定设置的IPS规则。

AV 设置方法：

在策略中启用病毒过滤，模板选择预定义的「predef_high」即可。

为了保证IPS和AV规则的工作，除了升级IPS和AV库至最新版本外，建议升级设备的应用特征库至最新版本，同时检查目的安全域的应用识别功能为「启用」状态。查看方式如下：

「网络」>「安全域」，选中对应的目的安全域，点击“编辑”：

3、不点击不明广告和链接，屏蔽和阻拦弹窗广告。不浏览被安全软件提示为恶意的站点；

4、尽量不要安装盗版破解软件、外挂！大部分的盗版软件都带有后门或木马，所以一定要安装和使用可信来源的应用服务。

9、安装杀毒软件防御挖矿木马攻击，定期检查有没有可疑的计划任务。

四、判断挖矿木马的类型

1.开源挖矿木马

2.无文件挖矿木马

3.目录隐藏挖矿木马

C:WindowsFonts目录是Windows系统下用于存放字体文件的目录，有一些病毒会将自身的程序隐藏在该目录下，例如Explorer一键挖矿，正常使用资源管理器在Fonts目录下无法查看到木马文件，需要借助PCHunter工具查看。使用资源管理器查看Fonts目录，即使搜索也无法发现异常子目录，使用PCHunter查看到的Fonts目录下木马文件生成的目录。如发现Fonts目录下出现arial、Logs、temp、ttf目录，建议立即使用杀毒软件进行全盘扫描和查杀，或参考附录explorer一键挖矿的处置方法手动清除。

4.WEB网页脚本挖矿

5.驱动程序挖矿木马

驱动挖矿是指挖矿木马通过注册驱动的方式驻留在系统中以确保持久性，ProtectionX挖矿木马就是其中一种，除了自保护和自启动外，还会释放安装驱动文件，母体运行后会将自身设置为隐藏属性，并释放win1logon.exe、wuauc1t.exe、ProcessExtended.dll，并且释放一个快捷方式用于带参数启动wuauc1t.exe，同时会在temp目录下释放随机字符命名的驱动文件，并通过注册成服务hy5.5。

6.动态链接库预加载挖矿

Linux动态链接库预加载机制是系统提供给用户运行自定义动态链接库的一种方式，在可执行程序运行之前就会预先加载用户定义的动态链接库的一种技术，这种技术可以重写系统的库函数，只需要在预加载的链接库中重新定义相同名称的库函数，程序调用库函数时，重新定义的函数即会短路正常的库函数，这种技术可以用来重写系统中有漏洞的库函数，达到修复漏洞的目的，如get_host_byname导致ghost漏洞的这类函数。通过重写mkdir, mkdirat, chdir, fchdir, opendir, opendir64, fdopendir, readdir, readdir64等和系统文件，网络，进程相关的库函数来达到隐藏文件，进程的目的。

7.Docker镜像挖矿

五、挖矿木马人工处理服务

1.安全事件的主体，如：单位名称、地址、接口人姓名、电话。
2.安全事件发生的时间、被攻击的物理位置、相关IP。
3.能够对安全事件进行一个简单的现象描述。
4.提供安全事件所涉及到的应用系统及其他IT资产，并可简单预估损失范围。
5.如有现象的截图、照片或事件日志、安全设备日志信息也一起提供。

6.恶意程序样本请打包，压缩包加密码提交。

本文始发于微信公众号（山石网科安全技术研究院）：挖矿木马防御方法+应急处理大全