近日，阿里云安全发现一种新型挖矿蠕虫RDPMiner，通过爆破Windows Server 3389端口RDP服务的方式进行挖矿木马传播，致使用户CPU占用率暴涨，机器卡顿，更被创建名为DefaultAccount的账 。攻击者可畅通无阻远程登录机器威胁用户业务和数据安全。
据该蠕虫连接的某矿池公布的HashRate，预估仅该矿池即有2000+机器连接进行挖矿，阿里云安全专家判断该挖矿蠕虫扩散性还在持续且活跃度高，且用户管理账 弱密码设置更给攻击者创造了有利的条件。
背景
在接到用户反馈Windows Server服务器CPU占用率暴涨，并被创建DefaultAccount的账 后，阿里云云防火墙同步监控到这些机器向外发出大量RDP请求。阿里云安全研究人员进行分析后，发现用户主机上运行着挖矿程序，导致CPU占用率居高不下。
进一步分析，攻击者利用该蠕虫程序暴力破解RDP服务、创建用户名为DefaultAccount的账 、修改注册表、开启挖矿程序。 接着再通过这台被入侵的机器对互联 其他主机进行爆破，进而达到入侵、获利、持久化等功能。
且挖矿蠕虫的攻击者具有较强的对抗意识，大部分二进制程序都被制作成了SFXRAR自解压缩程序（Self Extracting Archives）进行密码加密，并在执行完功能后，统一由脚本进行清理。阿里云安全监测到该蠕虫最早出现于2017年11月，持续时间长达1年多。
恶意程序示意图
如下图所示：攻击者在成功控制一台机器后，为进行下一轮的RDP爆破攻击，首先会在该机器的c:usersadministratordesktop目录下，植入并运行名为sector-v1.exe的多功能恶意程序工具包。工具包中的程序都进行了sfxrar加密，需要输入密码才能正常运行。
svchost.exe文件生成示意图
而nl.exe原名为NLBrute.exe，是一款最早由俄罗斯人开发的Windows系统3389爆破软件。攻击者使用它来达到传播蠕虫，进一步扩大攻击范围的目的。
挖矿工具名称变化时间线
尽管攻击者使用的挖矿工具名称、哈希值不断变化，但本质上都是开源挖矿软件xmrig经过修改而成，因此使用方式与xmrig十分相似。
RDPMiner各模块功能
入侵：RDP暴力破解
通过A-C-M.exe释放出如下文件，程序启动后会调用nl.exe，该程序更为广泛使用的名称是NLBrute，专门用于对3389端口进行爆破。
当前攻击者钱包地址在某挖矿平台上的日平均Hash Rate约25KH/s，目前全 数千台机器正在连接该矿池，这个挖矿速率意味着攻击者本次挖矿每日收益仅为约8.73美元，侧面说明在如今币价狂跌的背景下，入侵挖矿的收益不再像过去那样诱人。攻击者仍然乐此不疲，对用户而言伤害不减。
此外为避免程序运行时Windows UAC弹框引起用户察觉，该恶意程序还包含了如下图所示的注册表命令，设置”EnableLUA”注册表项以及关闭Windows自带的防火墙。
钱包地址
493NdGNLF2C5EgQ11rYUA5gWqCLKrjY8w6Wrfev2cCXzW7UwepJ4yUv16A2zQfyWsWRk4wnGwpsUd7hLGr5TQFxYDnYK6Ta
**矿池地址：
**
pool.supportxmr.com:3333
minexmr.com
xmr-asia1.nanopool.org:14444
159.69.206.220:3333
恶意程序DNS请求：
min.microsoftupdcenter.info
文章知识点与官方知识档案匹配，可进一步学习相关知识云原生入门技能树首页概览8583 人正在系统学习中 相关资源：PHP寄生虫繁殖劫持程序V3.0_寄生虫程序-PHP代码类资源-CSDN文库
声明：本站部分文章及图片源自用户投稿，如本站任何资料有侵权请您尽早请联系jinwei@zod.com.cn进行处理,非常感谢！