木马挖矿案例
『壹』 什么是挖矿木马
就是会让你电脑自动挖矿的病毒
杀毒软件直接杀毒不就得了么
安装个电脑管家到电脑上
然后使用病毒查杀，对着你的电脑杀毒就行了
『贰』 挖矿木马是什么
就是你电脑后台自行消耗显卡与CPU资源的木马病毒，这种木马是看你电脑配置很高，后台自行挖矿，你一般看不出来，但是你显卡或CPU占用很高的。
『叁』 WannaMiner挖矿遇到木马怎么办
这个木马利用“永恒之蓝”漏洞在局域网内攻击传播，将染毒机器构建成一个健壮的僵尸网络，支持内网自更新，长期潜伏在电脑中以挖取门罗币。因普通个人电脑大多通过Windows安全更新和腾讯电脑管家等安全软件修补过安全漏洞，基本不受WannaMiner影响。建议各企业用户，如果发现疑似WannaMiner挖矿木马，及时定位和隔离已中毒机器，可通过扫描26931端口判断，如该端口开放则主机已被感染；如需修补内网所有未安装补丁的电脑。建议全网安装专业终端安全管理软件，如腾讯御点，由管理员对全网进行批量杀毒和安装补丁，避免造成不必要的损失。
『肆』 挖矿木马，挖矿消耗计算机资源到底是在做什么东西
『伍』 集后门木马、挖矿脚本、勒索病毒于一身，这个ZIP压缩文件厉害了
近日，白帽子黑客Marco Ramilli捕获到了一封“奇特”的恶意电子邮件，其中包含一条链接，一旦点击就会导致一个名为“pik.zip”的压缩文件被下载。之所以说它奇特，是因为包含在这个ZIP文件中的JavaScript脚本文件采用了西里尔字母进行命名——被命名为“Группа Компаний ПИК подробности заказа”，翻译过来就是“PIK集团公司订单详情”。
需要说明的是，目前使用西里尔字母的文字包括俄语、乌克兰语、卢森尼亚语、白俄罗斯语、保加利亚语、塞尔维亚语和马其顿语等，而PIK恰好就是俄罗斯的一家房地产公司，拥有超过1.4万名员工。也就是说，攻击者显然试图将电子邮件伪装成来自PIK公司，从而借助该公司的声誉开展攻击活动。
Marco Ramilli表示，攻击者使用了多种混淆技术来对该脚本JavaScript进行混淆处理。其中，在感染第一阶段阶段存在两个主要的混淆流：
该脚本最终会释放并执行一个虚假的图像文件“msg.jpg”，该文件实际上是一个经过UPX加壳的Windows PE文件，被用于感染的第二阶段。
在感染的第二阶段，三个额外的模块会被释放并执行：一个后门木马、一个挖矿脚本和一种此前曾被广泛报道过的勒索病毒——Troldesh。
分析表明，第一个被释放的模块（327B0EF4.exe）与Troldesh非常相似。该勒索病毒会在加密目标文件之后对其进行重命名并附加一个“.crypted00000”扩展名。举例来说，当一个名为“1.jp”的文件在被加密之后，其文件名就会被重命名为“hmv8IGQE5oYCLEd2IS3wZQ==.135DB21A6CE65DAEFE26.crypted000007”。同时，Troldesh还会篡改计算机桌面的壁纸，以显示勒索信息：
第二个被释放的模块（37ED0C97.exe）是被证实一个名为“nheqminer”的挖矿脚本，被用于挖掘大零币（Zcash，一种加密货币）。
第三个安装被释放的模块（B56CE7B7.exe）则被证实是Heur木马，该木马的主要功能是针对WordPress网站实施暴力破解，曾在2017年被广泛报道。
根据Marco Ramilli的说法，该木马的典型行为与HEUR.Trojan.Win32.Generic非常相似，包括：
一旦该木马安装成功，就会通过暴力破解来寻求弱口令凭证，而一旦发现了弱口令凭证，就将pik.zip复制到这些WordPress网站中。
Marco Ramilli认为，此次攻击活动背后的攻击者显然试图通过多种渠道来牟利——勒索病毒和加密货币挖矿脚本。此外，攻击者还试图通过受感染计算机来暴力破解并控制随机的WordPress网站。这样的攻击活动工作量显然非常大，且很容易被检测到。因此，攻击者不太可能是某个国家黑客组织，而只是一群想要同时通过多种方式来牟利的网络犯罪分子。
『陆』 挖矿木马类型： virus.js.qexvmc.1 描述： 恶意软件是对病毒、木马、蠕虫、后门程序等危害用户计算机及
朋友你好，有些病毒在正常模式下是杀不掉的，你可以如下操作试试：（1）重启后，F8 进带网络安全模式（2）用360安全卫士依次进行：清除插件、清除垃圾、清除痕迹、系统修复、高级工具“开机启动项管理”一键优化、使用“木马查杀”杀木马，用360杀毒全盘杀毒。如果还没清除用下以方案：（3）重新启动，F8 进带网络安全模式（4）用360系统急救箱试一试 ，希望能帮助你
『柒』 WannaMine挖矿木马手工处理
关于病毒及木马的问题，都说老生常谈的了，这里就不讲逆向分析的东西，网上毕竟太多。就写一下WannaMine2.0到4.0的手工处理操作。确实，很多时候都被问的烦了。
WannaCry勒索与WannaMine挖矿，虽然首次发生的时间已经过去很久了，但依旧能在很多家内网见到这两个，各类杀毒软件依旧无法清除干净，但可以阻断外联及删除病毒主体文件，但依然会残留一些。此种情况下，全流量分析设备依旧可以监测到尝试外联，与445端口扫描行为。
WannaCry 在使用杀毒软件及手动清除攻击组件所在目录后，仍需手动cmd命令删除两个系统服务sc delete mssecsvc2.0与mssecsvc2.1。
WannaMine 全系使用“永恒之蓝”漏洞，在局域网内快速传播。且高版本会在执行成功后完全清除旧版本。
下图为WannaCry与WannaMine使用的永恒之蓝攻击组件相关文件。
WannaMine2.0版本
该版本释放文件参考如下：
C:
C:Windowssystem32wmassrv.dll
C:.dll
C:WindowsSystem32EnrollCertXaml.dll 删除系统服务名与DLL文件对应的wmassrv。
WannaMine3.0版本
该版本释放文件参考如下：
C:.xmlC:WindowsAppDiagnosticsC:WindowsSystem32TrustedHostex.exeC:WindowsSystem32snmpstorsrv.dll
需删除主服务snmpstorsrv与UPnPHostServices计划任务
WannaMine4.0版本
该版本释放文件参考如下：
C:WindowsSystem32 dpkax.xsl
C:WindowsSystem32dllhostex.exe
C:.dll
C:.dll
C:WindowsSysWOW64dllhostex.exe
C:WindowsNetworkDistribution
<pre style="margin: 0px; padding: 0px; white-space: pre-wrap !important; overflow-wrap: break-word !important; max-width: 98%;">文件名随机组合参考• 第一部分：Windows、Microsoft、Network、Remote、Function、Secure、Application •第二部分：Update、Time、NetBIOS、RPC、Protocol、SSDP、UPnP •第三部分：Service、Host、Client、Event、Manager、Helper、System •rdp压缩文件随机字符串后缀：xml、log、dat、xsl、ini、tlb、msc</pre>
关于Windows下计划任务与启动项查看方式，建议在使用PCHunter、Autoruns、ProcessHacker等工具无法发现异常的情况下，可以到注册表下查看。
注册表下排查可疑的计划任务
HKEY_LOCAL_
发现可疑项可至tasks下查看对应ID的Actions值
HKEY_LOCAL_ asks[图片上传失败...(image-e8f3b4-1649809774433)]
计划任务文件物理目录
C:
新变种病毒有依靠 WMI 类属性存储 ShellCode 进行攻击，Autoruns可以用来检查WMI与启动项并进行删除，在手动删除病毒相关计划任务与启动项时，记得删除相应的文件与注册表ID对应项。
注册表下查看开机启动项
HKEY_CURRENT_或runOnce [图片上传失败...(image-8a357b-1649809774432)]
『捌』 挖“比特币”等非法“挖矿”行为可能涉嫌的罪名
加密数字货币非法“挖矿”行为可能涉嫌的刑事犯罪
作者：李俊南 ，上海华勤基信（杭州）律师事务所负责人
近年来，比特币、莱特币、狗狗币等加密数字货币的火热行情吸引无数一夜暴富心态的人群积极参与，币安、火币、OKEx之类的网站迅速扩张拥有大量交易参与方，除了通过买卖途径，很多人也选择通过“挖矿”获得加密数字货币。在“挖矿”的过程中产生一系列行为，而其中部分行为可能涉嫌刑事犯罪。笔者认为，如果要辨析可能涉嫌刑事犯罪的行为，必须先就加密数字货币和“挖矿”行为的概念进行了解。
第一部分 关于加密数字货币和“挖矿”的概念和性质
一、加密数字货币的概念
口语化普遍使用“虚拟货币”或者“数字货币”来指称比特币、莱特币、USDT、狗狗币等，其实“虚拟货币”或者“数字货币”的范围比较广泛，泛指不受管制的、数字化的货币，包括我们日常所知道的腾讯Q币、盛大元宝等 游戏 币或置换网站内部增值服务等的网络专用币，也包括加密数字货币，笔者本文探讨的各种行为或情节特指加密数字货币。加密数字货币是一种使用密码学原理来确保交易安全及控制交易单位创造的交易媒介或者商品，来源于开放式的算法导致没有固定的发行方或管理方，通过网络计算方法进行解密获得原始数字货币，因为算法解总量可控从而做到让数字货币总量固定，交易过程获得网络中各个节点的认可从而导致交易行为的固定性或安全性。
加密数字货币与实物货币或者形式货币的数字化不同，《关于防范比特币风险的通知》[1]和《关于防范虚拟货币交易炒作风险的公告》[2]明确其作为虚拟商品的性质，“不由货币当局发行，不具有法偿性与强制性等货币属性，不是真正的货币，不应且不能作为货币在市场上流通使用”。货币最初为不容易大量获取的物品，而后变为金属（尤其是金银），这些本身即有价值的物品被挑选出来赋予交换权，按照某一时间点特定的价值比例可以循环、普适地交换其他商品或服务。政府（包括其他具有公信力的主体）成立后发行法币，基于政府公信力和金银储量等基础进行许诺，赋予法币可以代替实物货币进行与商品或服务之间的交换。法币（比如人民币、美元、英镑等）是在主权信用、货币契约理论和金银储备等基础上而被赋予的代表一定可供交换价值的 社会 接受度。而 社会 之所以接受，是因为发行法币时，主权机构将会就该等份额的法币做出相应信用许诺，法币具有转化为真实实物价值的可能性。通常每个主权国家或区域只是用一种法币，由中央银行发行和控制，严格遵循“MPQV”的公式进行计算，避免发生严重背离市场的通货膨胀或紧缩。
加密数字货币背后并没有所谓的主权信用或价值支撑，是通过区块链技术保密和流通、计算机算法而获得的虚拟物。区块链是用分布式数据库识别、传播和记载信息的智能化对等网络。2009年比特币第一个区块被开发出来，有人称之为“创世区块”。用于加密数字货币的计算机算法，目的是生成一种虚拟标记，这个标记被设定的程序认为完成了程序要求的解或运算结果程度，基于运算结果给这个标记一定的数字货币值。这个值本身没有内在价值，是数学难题的解答，充其量可能对应的就是解法研发和所耗费的“矿机”购买价格、能耗价格等，而前者无法代表有价物，后者代表的只有消耗而没有创造。
二、“矿机”和“挖矿”
获得加密数字货币的初始方法就是运算，需要借助计算机（“矿机”）来完成复杂运算过程。“矿机”通过中央处理器芯片或者显卡参与数学计算，开展“挖矿”过程。如果能够计算出结果，那么被赋予一个或者几分之一个数字货币值。以比特币为例，“挖矿”就是找到一个随机数（Nonce）参与哈希运算Hash（BlockHeader），使得最后得到的哈希值符合难度要求。
“挖矿”过程涉及的参与方和设备材料包括矿工、矿机、矿机销售方、矿池管理方、区块确认和广播等。矿工可以简单地理解为参与“挖矿”的每个人或机构，矿池是为了避免单个矿工“挖矿”收益的不稳定性而聚合矿工后产生的集合，根据不同矿工的运算贡献对收益结果进行分配，区块确认和广播是通过区块链节点互相认可某一个矿机代表的矿工工作量证明，进行记账和通知其他节点。矿工的收益存储于有密钥的电子钱包中，可以查阅、使用和交易。“挖矿”的形式主要分为集中托管式和分布式，前者是矿工将矿机托管给某个矿池管理方，矿工支付电费和管理费，矿池管理方统一进行操作维护；后者是矿工自行管理矿机。
笔者认为单纯的“挖矿”行为在此前并未存在任何有关于涉嫌违法的法律规定，但2021年5月21日国务院金融稳定发展委员会召开第五十一次会议，根据会议精神，“坚决打击比特币挖矿和交易行为”，此后就虚拟货币非法“挖矿”行为应当会出台进一步的规定。
第二部分 非法“挖矿”行为涉及刑事犯罪的现状
一、笔者以“刑事案件”、“虚拟货币”、“挖矿”等关键词在中国裁判文书网中进行搜索，存在132篇文书。经过对案件文书的研判，笔者发现：
1.根据审判程序来看。 一审判决书占比81.81%；二审裁定书等占比16.67%；审判监督驳回申诉通知书等占比1.52%。
2.根据定罪罪名来看。 （1）一审定罪主要分布为：盗窃罪主要为盗窃公共电力资源，计算机系统相关犯罪主要为在他人计算机内植入木马外挂程序、利用工作职务便利使用可控制的计算机系统挖矿等，非法吸收公众存款罪、诈骗罪、集资诈骗罪和组织、领导传销活动罪除了与“挖矿”有关，还与加密数字货币的发行紧密相关，少量盗窃罪和其他类案件主要是与矿机买卖相关，或“挖矿”收益取得后被非法侵犯产生的其他犯罪行为。大量案件为单一罪名，少量案件数罪并罚。（2）二审定罪主要为组织、领导传销组织犯罪，占50%；控制、入侵、破坏计算机系统等计算机系统相关犯罪，占18.18%；其余各项罪名（抢劫罪、集资诈骗罪、非法吸收公众存款罪、盗窃罪等）占31.82%。基本所有案件均维持原判。
二、笔者另通过网络搜索发现：
2018年5月腾讯网报道[3]称，“西安市未央区检察院提前介入一起特大网络黑客盗窃虚拟货币案，并批捕该案三名嫌疑人。三名嫌疑人为专业化的网络技术人员，组织‘黑客联盟’非法侵入他人计算机系统并将计算机中的虚拟货币转移，涉案金额高达6亿元”。
2020年11月哈尔滨新闻网报道[4]称，黑龙江警方抓获28名犯罪嫌疑人，成功破获一起涉嫌以“哥伦布CAT虚拟货币”“挖矿”为噱头的特大网络传销案件，总价值近人民币3亿元。
2021年5月8日法制现场报道[5]称，武汉市洪山警方“宣布打掉一专为网络诈骗团伙开发APP的 科技 公司”，“晟昌 科技 ”接受委托定制开发一款名为联合众鑫的虚拟币平台，以USDT充值后，“宣称兑换联合众鑫独有币种ZBCT后，可在平台内购买矿机挖矿产生收益”，但矿机运营图片全部为网络图片，同时可以使用后台修改权限，“随意修改ZBCT价格及具体收益比率”。“晟昌 科技 ”公司“3年间开发了150余个涉及区块链、虚拟货币、电子钱包、网络商城等APP、小程序，几乎全部是网络金融诈骗、传销团伙所定制”[6]。
公布案例和网络报道表明，近年来与加密数字货币“挖矿”行为相关的违法犯罪活动非常猖獗，采取网络等方式，存在金额高、行为性质复杂、多角色参与、受害者群体遍布广等特征。
第三部分 就非法“挖矿”行为涉及刑事犯罪的一些思考
一、我国关于非法“挖矿”行为的态度
从2013年12月中国人民银行等五部委发布的《关于防范比特币风险的通知》至2021年5月21日国务院金融稳定发展委员会第五十一次会议要求，都在宏观层面确认了加密数字货币在发行、交易过程中可能存在风险。因为加密数字货币去中心化不可管控的特性，被大量的犯罪活动所“青睐”。
2021年5月25日，内蒙古发展和改革委员会发布了《关于坚决打击惩戒虚拟货币“挖矿”行为八项措施（征求意见稿）》，发布之前已多次对虚拟货币“挖矿”和交易行为进行围追堵截。国家能源局四川监管办公室发布《关于召开虚拟货币“挖矿”有关情况调研座谈会的通知》。
二、从国际上而言
新加坡、韩国、日本等地均已出台了与虚拟货币相关的行业规范政策，比如在投资人门槛、交易所牌照、实名认证机制等方面均有所要求。印度则准备直接禁止民众交易及持有加密数字货币。各个国家和地区的大趋势也逐渐朝着管控方向归拢。
三、非法“挖矿”行为的非法性体现分析
单纯的个人购买或者租用矿机进行加密数字货币“挖矿”，并未有法律规定禁止，这是基于个人需要而获得虚拟商品的行为，需要被禁止的应当是带有非法属性的“挖矿”行为。
前文提及的案例表明，主要犯罪行为体现为：
1.技术型非法攫取
部分不法分子利用投资者购买矿机，或管理计算机，或其他便利条件，通过对计算机系统内植入木马病毒为自己“挖矿”，涉嫌 入侵、控制或破坏计算机系统犯罪 ,或盗取他人已经获得的加密数字货币 涉嫌盗窃罪 。
2.盗取电力资源
部分不法分子通过私设电缆、增设微电脑控制器等手段盗窃电能用于“挖矿”，已经成为了部分地区的多发性案件。盗电行为不仅仅直接通过秘密手段非法使用和侵犯了公共资源和他人合法权益，同时可能会因线路漏电引起火灾、影响节能减排政策下的区域供电安排和平衡、影响区域性阶梯用电的电价，应予以打击。
3.引发 非法吸收公众存款罪，诈骗罪 或 组织、领导传销活动罪 等涉众
（1）A宣称可以销售（含销售后托管）或租赁矿机进行“挖矿”， A向 社会 公众宣称，矿机具有强大的算力（衡量矿机销售价格或租赁费用多以算力或配置为主要标准之一），称可以每月获得一定的加密数字货币收益回报。如果回报是维持在一定的固定标准时，则A就有可能 涉嫌非法吸收公众存款罪 。
（2）A宣称其矿机存在一定标准的算力，但实际未达到该等运算效率，甚至矿机并不实际存在，A收受投资人支付的购买款和租赁费，就 涉嫌诈骗罪、合同诈骗罪 或 集资诈骗罪 。
（3）A通过三级以上代理渠道推广“挖矿”业务，要求各级代理必须先购买或承租一定数量的矿机，可以介绍他人参与购买或承租矿机“挖矿”的行为，可以获得浮动收益。也就是说，代理通过购买或承租一定数量的矿机获得入会资格，再通过拉人头等方式拿到另外的利润分配，形成三级或以上组织架构，A将 涉嫌组织、领导传销活动罪 。
四、再进一步思考
1.A没有矿机或矿机根本不符合其宣称的性能，向投资人销售的同时约定托管，或进行租赁时以虚假信息表现存在矿机、以各种借口阻止投资人现场查看或查看虚假场所，但是A与投资人约定退出机制并按月交付投资收益，在市场上购买加密数字货币宣称“挖矿所得”给予投资人、赚取利差的行为，是否涉嫌犯罪？笔者认为A的行为属于诈骗行为，究其本质都是采用了虚构事实或者隐瞒真相的行为，使投资人误以为A有符合宣传的矿机、可以带来符合预期的收益，才支付的购买价款或租赁费用。
2.A自己发行了一种加密数字货币，自行定价，宣称租赁A的矿机可以“挖矿”获得该加密数字货币，实际上并没有矿机供投资人使用，仅仅是根据投资人的投入金额，向投资人固定地发放加密数字货币。A通过程序设定“挖矿”所得数量，甚至将该加密数字货币与主流加密数字货币的兑换价格无限调整，是否涉嫌犯罪？笔者认为，A的行为仍然是诈骗行为，该加密数字货币可能仅仅在A控制网络节点中做闭环运作，通过一系列的包装，利用投资人的回报期待，以无价值的数字化产物置换法币（也可能现要求投资人以法币购买主流加密数字货币，再以主流加密数字货币进行投资，增加手段的隐蔽性），实际上还是非法占有受害人财产。
3.A发行了加密数字货币，投资人租赁矿机参与“挖矿”的目的不在于看好该加密数字货币的升值空间，而在于该加密数字货币与主流加密数字货币的恒定兑换比例。投资人以其获得的黑色或灰色收入购买该加密数字货币，在闭环系统里兑换为主流加密数字货币，通过买卖获得法币资产。涉及犯罪所得的非法收入通过“挖矿”洗白。A的行为根据其故意程度、参与上游犯罪程度，可能涉嫌上游犯罪的共犯、帮助网络信息犯罪活动罪、掩饰隐瞒犯罪所得罪、洗钱罪等。
综上所述，大量人群为了高回报期待参与“挖矿”行为，在不法分子的引诱、欺骗下，或在自身利益驱动下可能发生违法犯罪的行为，涉案的罪名种类繁多，行为手段也日趋复杂化、隐蔽化、涉众化，需要加强监管，避免加密数字货币的热潮给犯罪活动提供温床。
『玖』 服务器被攻击并植入kdevtmpfsi挖矿/病毒/木马
MongoDB库中的数据莫名其妙没有了，发觉如下信息：
1、 top -d 5命令 ，查看系统负载情况、是否有未知进程，发现一个名为kdevtmpfsi的进程，经科普它是一个挖矿程序，会占用服务器高额的CPU、内存资源。如图，CPU占用率高达788.7%，而且是yarn用户下：
2、 ps -ef |grep kdevtmpfsi 命令查看 该挖矿程序路径：/tmp/kdevtmpfsi
3、 ps -ef |grep yarn 命令查看更多关于yarn相关进程信息（此时我的服务器并没有开启yarn服务，如果有yarn的相关进程则可判断是攻击者开启的进程），发现另外还有个kinsing进程，经科普kinsing进程是kdevtmpfsi的守护进程：
4、 netstat -lntupaa 命令查看是否有异常的ip,果然发现194.87.102.77这个陌生的ip，判断是kdevtmpfsi的发出者：
5、经查询该ip的所在国家是俄罗斯：
6、 find / -iname kdevtmpfsi 命令再次确定命令所在位置以便删除：
7、 cd /tmp 进入相关目录：
8、 rm -rf kdevtmpfsi 删除kdevtmpfsi程序：
9、** kill -9 40422**杀掉kdevtmpfsi进程：
10、发现并没杀掉所有kdevtmpfsi进程，再次查找yarn的相关进程（因为之前已确认病毒是在yarn下），果真还有kdevtmpfsi进程存在：
11、用命令 批量杀掉 相关进程：
12、删除kinsing文件：
13、现在，已经把挖矿程序及相关进程删除掉了，但是还有两处没做处理：
14、 crontab -l 命令先看看crontab的定时任务列表吧：
15、编写删除挖矿程序脚本 kill_kdevtmpfsi.sh ：
16、新增 定时任务 并删除攻击者的挖矿定时任务：
17、 crontab -l命令 查看现在只有杀进程的定时任务了：
18、禁止黑客的IP地址。
最初安装MongoDB时，并未设置密码认证，存在漏洞，导致黑客通过漏洞攻击服务器，并在程序里植入木马/病毒。单纯的kill -9 id杀掉病毒进程是杀不彻底的，治标不治本，应该定时删除病毒进程，禁止攻击者IP，重新安装系统或相关软件。
经过几天的观察，服务器运行正常，再没有被黑客攻击成功。
『拾』 中了挖矿木马，我是如何清理的
目前挖矿木马还没办法查杀，即使是2020年6月的现在，市面上所有的安全卫士都没办法识别出来。这个木马非常狡猾，通过局域网共享传播，感染之后会在本地生成一个合法程序（powershell命令形式的），然后木马程序会自动删除，这也是安全卫士没办法查杀的原因吧。我曾经翻过整个C盘，都没办法找出源文件，只能重装系统了。