2024年1月13日发(作者：)

龙源期刊网

“永恒之蓝”漏洞引发僵尸网络“挖矿”

作者：赵明

来源：《中国计算机报》2017年第21期

WannaCry和UIWIX勒索软件在全世界掀起了轩然大波，但是利用“永恒之蓝”漏洞进行攻击的却不止这两个恶意软件。近日，亚信安全中国病毒响应中心发现了利用“永恒之蓝”漏洞传播的新型木马文件“TROJ_”。该木马程序可以控制被感染的终端，形成僵尸网络，并利用受感染的电脑来“挖掘”虚拟货币。亚信安全建议，用户使用亚信安全MS17-010漏洞扫描工具来快速发现此漏洞。此外，亚信安全最新病毒码已经可检测该木马，亚信安全客户可升级病毒码版本来对木马进行封堵。

当用户的PC被感染后，犯罪分子会控制被感染的终端形成僵尸网络，并将感染终端作为计算节点来挖掘虚拟货币“门罗币”，这很可能导致被感染终端的硬件负载居高不下，造成应用卡顿。

僵尸网络在犯罪分子的远程控制下可以发起大规模网络攻击，如发送大量垃圾邮件、向网站实施分布式拒绝服务攻击（DDoS）和传播恶意代码。犯罪分子可随意窃取受感染计算机的信息、用户的隐私信息等。

而“挖矿”是什么呢？通俗讲，“挖矿”就是挖“门罗币”。“门罗币”是依赖P2P网络存在的，和“比特币”一样都是网络虚拟货币。“门罗币”只能从特定算法中产生。如果你想要获得“门罗币”，除了通过交易外，还能够通过计算凭空变出“门罗币”——这个计算过程被称之为“挖矿”。“挖矿”需要对节点进行大量哈希计算，这需要大量的计算机设备，并消耗大量电力，而“挖币”的利益所得会被黑客窃取。因此有黑客就利用僵尸网络来控制受感染的主机（也称“肉鸡”）来实现“挖掘”虚拟货币。

亚信安全中国病毒响应中心发现：该木马程序会利用微软“永恒之蓝”漏洞来感染目标主机，感染后会生成“%Windows%＼Fonts＼”“%Temp%＼s1jc._Miner_.log”，查找并结束安全软件相关进程，添加防火墙规则，以逃避查杀。之后，该病毒会链接外部C&C 服务器发送和接收信息，并配置用于挖矿的Lua脚本机用来挖矿。由于该C&C 服务器与UIWIX病毒中的C&C服务器是同一个地址，据此推测可能是同一个组织所为。

亚信安全通用安全产品总经理童宁表示：“‘永恒之蓝’是一个较为严重的漏洞，在漏洞细节披露之后被大量网络犯罪分子用来发动攻击。由于很多用户仍然没有及时修补这一漏洞，我们可以预见在未来的一段时间内，由该漏洞引起的网络攻击事件将会更频繁地出现。”

亚信安全建议用户通过以下方式来防范“TROJ_”木马。