区块链网站|NFTS 门罗币(XMR) “隐形矿工”——门罗币挖矿木马分析报告

“隐形矿工”——门罗币挖矿木马分析报告

广告位

“杀不掉”的“虚灵矿工”——门罗币挖矿木马分析报告

一、背景概述近日,新华三态势感知平台检测到一台机器发起了挖掘域名(xmr-eu2.nanopool.org)的解析请求。客户发现异常事件后,启动中毒机器上的杀毒软件进行全面扫描,但未检测到挖矿木马。带着客户的疑问,新华三安全攻防实验室立即介入分析。

经验证,该样本确实可以避免被国内外众多主流杀毒软件查杀。通过对样本的深入分析,我们发现挖矿木马在文件末尾附加了大量的空字节,使得自身大小达到了100 MB的级别,从而达到了在沙盒中查杀软肋和检测逃逸的目的。根据挖矿木马的这一特点,我们将其命名为‘虚拟矿工’。

二、前期调查使用ProcessMonitor监控样本动态行为,发现挖掘网络请求由exe进程发起:命令行有明显的挖掘程序相关参数:-cinit-find-x-b-algo=rx/0-ASM=auto-CPU-memory-pool=1-randomx-mode=auto-randomx-no-rdmsr-cuda-BF actor-hint=12-cuda-bsleep-hint=100-URL=randomxmonero . eu-west . nicelakys-pass=-CPU-max-threads-hint=30-nice hash-cinit-stealth

在sysmon记录中搜索父进程id,定位到父进程对应的文件为:% %APPDATA%\\gamelauncher.exe文件大小为672M,可以初步推测未检测到杀毒软件的原因是文件大小过大。

在sysmon中,exe发布的一个驱动文件也位于:% appdata% \\ libs \\ wr64.sys,根据gamelauncher.exe的线索,发现开机时会有一个预定任务启动gamelauncher.exe。

根据可以定位挖矿木马并实现持久化的方法,调用关系如下:

三。样本分析1。样本的基本信息

2.示例逻辑图

3.根据gamelauncher.exe的分析,gamelauncher.exe的大小是672米,压缩后只有8.42米。用工具查看的时候发现有效内容很少,因为实际有效载荷后面加了大量的空字节。

删除空字节填充后,文件大小为8.35 MB (8,759,474字节)。经查块信息,初步确认为地美达脱壳。

启动时,它将检测监控工具并进行调试:

使用ExtremeDumper和AssemblyRebuilder获取原件。net程序game.exe。game.exe启动时会休眠一分钟,然后资源数据会被AES解密:

段数据的解密结果是新的。net程序,文件名是game-miner.dll,但实际上是exe。

4.game-miner.dll分析说,game-miner.dll变量函数名称混乱。这里,只需重命名列出的函数。

如果有管理员权限,创建一个计划任务实现持久化;如果失败,请设置注册表项以实现持久性:

B.如果当前路径不是%appdata%/gamelauncher.exe,则杀死sihost64进程,删除%appdata%/libs/path中的log和sihost64-2.log,将自身复制为%appdata%/gamelauncher.exe并启动,然后退出自身(实际操作中,只要文件名不是gamelauncher.exe,就会执行上述操作。

碳(carbon的缩写)读取kumhcdkzhbym资源,将其解密并写入% appdata%/libs/wr64.sys。

D.遍历所有exe进程的命令行,判断是否已经开始挖掘,如果有对应的参数,直接退出。

E.解密挖掘参数,解密资源段数据并从压缩包中提取exe文件,开始创建新的explorer进程并注入恶意代码执行。

氟(fluorine的缩写)以挂起方式创建explorer进程,第六个参数为4,即CREATE_SUSPENDED表示挂起状态,

将挖掘程序写入explorer进程的相应内存中,然后恢复操作,开始挖掘。

G.写入explorer进程的挖矿程序进行外壳化,单独运行调试,使用Scylla dump并修复导入表,使用IDA查看main函数。

从https://github.com/xmrig/xmrig下载挖掘程序与从dump下载的挖掘程序相比,主要功能基本相同。

game-miner.dll发布的WR64.sys pdb路径是:

\’ d:\\ hot project \\ winring 0 \\ source \\ dll \\ sys \\ lib \\ amd64 \\ winring 0 . pdb \’

证书也与下载的xmrig中包含的WinRing0x64.sys和IDA比较str一致

当恶意程序使用xmrig时,默认情况下会贡献1%的计算能力给xmrig项目,相关域名为状态感知平台监控的xmr-eu2.nanopool.org。

根据样本分析,可以确认挖矿木马执行的全过程与心境监控记录一致。

四。同源性分析根据样本的特点,我们链接到github的开源项目SilentXMRMiner:

https://github.com/UnamSanctam/SilentXMRMiner

这个项目提供了高度可定制的挖掘程序生成能力。根据时间关系,我们取SilentXMRMiner v1.4.4按照相同的配置生成挖矿程序new_game.exe,并与game.exe进行对比:

game-miner.dll是通过解密资源段得到的,主要函数比较如下:

另外,通过查看项目代码,确定样本分析中提到的sihost64进程是一个守护进程,可以在挖掘程序异常时尝试恢复运行。

通过以上对比和关联,可以确定‘虚拟矿工’在本项目生成的程序基础上,进行了空字节的外壳和追加。

动词(verb的缩写)国际奥委会域名:xmr-eu2.nanopool.org

randomxmonero.eu-west.nicehash.com:3380

MD5:974 df 47 a 259 b9d 5477d 768871 F3 CB 5a 8

六。新华三处置和辩护建议【处置建议】

1.清除注册表中与gamelauncher和自启动项相关的计划任务;

2.删除% appdata %/game launcher . exe % appdata %/libs/wr64 . sys;

3.重启操作系统。

[辩护建议]

1.尽量官方下载软件,谨慎使用各大下载站;

2.不要点击来历不明的邮件和附件;

3.新华三威胁情报和特征数据库已经过测试,建议升级到最新版本。

广告位
本文来自网络,不代表区块链网站|NFTS立场,转载请注明出处:https://www.qklwz.com/jzb/xmr/6796.html

作者: 杀虫剂

上一篇
下一篇

发表评论

您的电子邮箱地址不会被公开。

联系我们

联系我们

0898-88881688

在线咨询: QQ交谈

邮箱: email@wangzhan.com

工作时间:周一至周五,9:00-17:30,节假日休息

关注微信
微信扫一扫关注我们

微信扫一扫关注我们

关注微博
返回顶部