“GuangZhou KuGou Computer Technology Co.,Ltd.”

　　“Google Inc”

　　“福建创意嘉和软件有限公司”

　　KingMiner利用的白文件签名

　　4.3持久化攻击

　　4.3.1 计划任务

　　KingMiner使用RegisterTaskDefinition创建名为WindowsMonitor的计划任务，每15分钟执行一次Powershell脚本；或者安装在系统启动时执行的计划任务WindowsHelper，并在WindowsHelper中安装计划任务WindowsMonitor执行一次VBS脚本代码。

　　KingMiner安装计划任务

　　4.3.2 WMI计时器

　　KingMiner在WMI中创建为名为WindowsSystemUpdate_WMITimer的计时器，并将执行一段脚本代码的事件消费者WindowsSystemUpdate_consumer通过事件过滤器WindowsSystemUpdate _filter绑定到计时器。随着计时器触发，每15分钟执行一次VBS脚本代码。

　　KingMiner安装WMI计时器

　　4.3.3 阻断外部入侵

　　KingMiner判断计算机版本是否受CVE-2019-0708漏洞的影响，同时判断计算机是否安装指定的补丁kb4499175、kb4500331、KB4499149、KB4499180、KB4499164（这些补丁是微软发布的CVE-2019-0708远程桌面服务远程代码执行漏洞的补丁号）。

　　如果没有安装CVE-2019-0708补丁，则修改设置禁止其他机器通过远程桌面服务访问本机，以此来来阻止其他木马进入系统，从而达到独占挖矿资源的目的。

　　KingMiner关闭RDP服务

　　五、挖矿木马防御和处置建议

　　5.1防御方案

　　5.1.1 密码管理

　　服务器使用安全的密码策略，特别是SQL服务器的sa账号密码，切勿以下弱口令；

　　123456、admin、root、123456789、qwert、password、1234567、12345678、12345、lloveyou、111111、123123、888888、1234567890、88888888、666666等

　　5.1.2 端口管理

　　服务器暂时关闭不必要的端口（如135、139、445、3389），方法可参考：https://guanjia.qq.com/web_clinic/s8/585.html；

　　企业用户可部署腾讯T-sec高级威胁检测系统（腾讯御界），发现、追踪黑客攻击线索。腾讯T-sec高级威胁检测系统是基于腾讯安全反病毒实验室的安全能力、依托腾讯在云和端的海量数据(603138,股吧)，研发出的独特威胁情报和恶意检测模型系统。（https://s.tencent.com/product/gjwxjc/index.html）

继续阅读：

此文由 比特币官网 编辑，未经允许不得转载！：首页 > 比特币挖矿 » 腾讯安全发布2019年度挖矿木马报告（全文）