黑客利用矿池代理躲避封杀

前言:

2017结束了 2018年也刚刚开始 去年 挖矿事件的大爆发

也让国内外网络安全厂商不断关注数字货币 区块链技术

安全厂商为了对抗 挖矿 比如360给自己的杀毒软件添加了 拦截挖矿的插件

而且更主要的事情是 国外安全厂商 也在一些比较大的挖矿僵尸网络里面获取挖矿样本 把

钱包地址 提取出来 并联系矿池的 管理人员 停止支付僵尸网络的钱包地址  来打击作者

不过在金钱的诱惑下 怎么可能罢手呢

MS016小组 在搜索全球网络中 在一台Linux机器里面发现了 可疑的目录 中的文件  并打包下来研究

先来看看loader.sh 脚本里面内容

这个脚本是攻击者利用 公布不久的漏洞 批量测试 传马留下的

这段命令很明显是下载命令

http://bigbatman.bid/gcc 域名下的 gcc文件

gcc文件是什么 没有后缀 利用反汇编工具 检查PE格式 是elf文件

在里面查到了stratum这样的字符串 这个肯定是 Linux下的挖矿程序

友情说明: Linux下的挖矿程序可以兼容 x86 x64

把挖矿程序放在Linux下运行后 知道用的挖矿软件是xmrig

其实挖矿程序有很多 根据门罗算法写的

上面是三种门罗挖矿程序

攻击者使用的是xmrig

接下来看看http://bigbatman.bid/config_1.json

网站下的config_1.json配置文件

config_1.json文件是 挖矿软件 中的配置文件

看主要二段 url 是矿池 而且user 并没有添加钱包信息 可以说明这个地址是黑客的代理

直接代理挖矿   这样更难溯源黑客的算力 和收入信息 而且有效可以抗击 安全厂商的打击

友情提示:随着门罗币全网算力难度 增大 2018 黑客也会找一些门罗币一样算法的新币来 获利

QQ交流群:176418830 欢迎交流

@感谢刀仔提供资料

posted @ 2018-02-22 17:02  ms016小组  阅读(1849)  评论(1编辑  收藏  举报