挖矿病毒爆发事件

❶ 比特币挖矿平台被入侵情形如何

斯洛文尼亚挖矿平台NiceHash周四在其官网发布一则声明，声称该平台遭遇黑客攻击，大量比特币被盗，目前平台各项服务已全面关闭。

NiceHash方面表示比特币被盗是因为钱包遭遇入侵，公司正在核实被盗的比特币数量，并配合有关部门进行调查。根据存储比特币钱包的地址显示，此次约有4700多枚比特币被盗。

卡巴斯基实验室的恶意软件分析师Sergey Yunakovsky认为，加密货币不再是一个遥不可及的技术。最近，我们观察到针对不同类型的加密货币的恶意软件攻击有所增加，我们预计这一趋势将继续下去。

而加密货币价格的飙涨是它们被黑客盯上的主要原因。比特币在本周上演疯狂上涨的行情，随着本周六美国市场比特币期货推出的临近，市场对比特币的狂热在周四达到新高潮，该数字货币价格在约40个小时内飙升了约40%，连续突破五个千元关口，升破17000美元。周四，一些交易所的比特币价格甚至一度升破19000美元，24小时内涨幅超50%。

❷ 电脑中了挖矿病毒

方法/步骤
首先，如果是菜鸟写出的病毒，大家可以太任务管理器中，找到该文件路径，直接终结进程树，或直接找到路径删除即可。

2/6
第二，如果对方技术够本，我们很难终结进程，那么，我们可以下载一个电脑管家，现在的电脑管家也增大了挖矿病毒的扫描率，如果查找到直接清理即可。

3/6
第三，如果电脑管家也无法搞定那么，我们可以avast查杀，这个程序在杀毒方面，简直是第一，对于挖矿病毒来说，更是犹如利剑。

4/6
第四，如果使用avast之后，我们还怀疑电脑有挖矿病毒的话，我们先打开进程手动把文档路径放到隔离区。

5/6
第五，在放到隔离区之后，我们使用avast的放松以供分析，然后发给avast的工作员工，备注怀疑是挖矿病毒，对方给我们人工分析，如果是，对方也会帮我们删除。

6/6
第六，如果在专业坚定之后，我们还有所怀疑的话，如果不是大牛，那么，大舅就需要重装电脑了，毕竟，一装百物清。
网络经验:https://jingyan..com/article/ca41422f1d83601eae99edf3.html
望采纳谢谢(≧∇≦)

❸ WannaMine挖矿木马手工处理

关于病毒及木马的问题，都说老生常谈的了，这里就不讲逆向分析的东西，网上毕竟太多。就写一下WannaMine2.0到4.0的手工处理操作。确实，很多时候都被问的烦了。

WannaCry勒索与WannaMine挖矿，虽然首次发生的时间已经过去很久了，但依旧能在很多家内网见到这两个，各类杀毒软件依旧无法清除干净，但可以阻断外联及删除病毒主体文件，但依然会残留一些。此种情况下，全流量分析设备依旧可以监测到尝试外联，与445端口扫描行为。

WannaCry 在使用杀毒软件及手动清除攻击组件所在目录后，仍需手动cmd命令删除两个系统服务sc delete mssecsvc2.0与mssecsvc2.1。

WannaMine 全系使用“永恒之蓝”漏洞，在局域网内快速传播。且高版本会在执行成功后完全清除旧版本。

下图为WannaCry与WannaMine使用的永恒之蓝攻击组件相关文件。

WannaMine2.0版本

该版本释放文件参考如下：
C:
C:Windowssystem32wmassrv.dll
C:.dll
C:WindowsSystem32EnrollCertXaml.dll 删除系统服务名与DLL文件对应的wmassrv。

WannaMine3.0版本

该版本释放文件参考如下：

C:.xmlC:WindowsAppDiagnosticsC:WindowsSystem32TrustedHostex.exeC:WindowsSystem32snmpstorsrv.dll

需删除主服务snmpstorsrv与UPnPHostServices计划任务

WannaMine4.0版本

该版本释放文件参考如下：

C:WindowsSystem32 dpkax.xsl

C:WindowsSystem32dllhostex.exe

C:.dll

C:.dll

C:WindowsSysWOW64dllhostex.exe

C:WindowsNetworkDistribution

<pre style="margin: 0px; padding: 0px; white-space: pre-wrap !important; overflow-wrap: break-word !important; max-width: 98%;">文件名随机组合参考• 第一部分：Windows、Microsoft、Network、Remote、Function、Secure、Application •第二部分：Update、Time、NetBIOS、RPC、Protocol、SSDP、UPnP •第三部分：Service、Host、Client、Event、Manager、Helper、System •rdp压缩文件随机字符串后缀：xml、log、dat、xsl、ini、tlb、msc</pre>

关于Windows下计划任务与启动项查看方式，建议在使用PCHunter、Autoruns、ProcessHacker等工具无法发现异常的情况下，可以到注册表下查看。

注册表下排查可疑的计划任务

HKEY_LOCAL_

发现可疑项可至tasks下查看对应ID的Actions值

HKEY_LOCAL_ asks[图片上传失败...(image-e8f3b4-1649809774433)]

计划任务文件物理目录
C:

新变种病毒有依靠 WMI 类属性存储 ShellCode 进行攻击，Autoruns可以用来检查WMI与启动项并进行删除，在手动删除病毒相关计划任务与启动项时，记得删除相应的文件与注册表ID对应项。

注册表下查看开机启动项
HKEY_CURRENT_或runOnce [图片上传失败...(image-8a357b-1649809774432)]

❹ 集后门木马、挖矿脚本、勒索病毒于一身，这个ZIP压缩文件厉害了

近日，白帽子黑客Marco Ramilli捕获到了一封“奇特”的恶意电子邮件，其中包含一条链接，一旦点击就会导致一个名为“pik.zip”的压缩文件被下载。之所以说它奇特，是因为包含在这个ZIP文件中的JavaScript脚本文件采用了西里尔字母进行命名——被命名为“Группа Компаний ПИК подробности заказа”，翻译过来就是“PIK集团公司订单详情”。

需要说明的是，目前使用西里尔字母的文字包括俄语、乌克兰语、卢森尼亚语、白俄罗斯语、保加利亚语、塞尔维亚语和马其顿语等，而PIK恰好就是俄罗斯的一家房地产公司，拥有超过1.4万名员工。也就是说，攻击者显然试图将电子邮件伪装成来自PIK公司，从而借助该公司的声誉开展攻击活动。

Marco Ramilli表示，攻击者使用了多种混淆技术来对该脚本JavaScript进行混淆处理。其中，在感染第一阶段阶段存在两个主要的混淆流：

该脚本最终会释放并执行一个虚假的图像文件“msg.jpg”，该文件实际上是一个经过UPX加壳的Windows PE文件，被用于感染的第二阶段。

在感染的第二阶段，三个额外的模块会被释放并执行：一个后门木马、一个挖矿脚本和一种此前曾被广泛报道过的勒索病毒——Troldesh。

分析表明，第一个被释放的模块（327B0EF4.exe）与Troldesh非常相似。该勒索病毒会在加密目标文件之后对其进行重命名并附加一个“.crypted00000”扩展名。举例来说，当一个名为“1.jp”的文件在被加密之后，其文件名就会被重命名为“hmv8IGQE5oYCLEd2IS3wZQ==.135DB21A6CE65DAEFE26.crypted000007”。同时，Troldesh还会篡改计算机桌面的壁纸，以显示勒索信息：

第二个被释放的模块（37ED0C97.exe）是被证实一个名为“nheqminer”的挖矿脚本，被用于挖掘大零币（Zcash，一种加密货币）。

第三个安装被释放的模块（B56CE7B7.exe）则被证实是Heur木马，该木马的主要功能是针对WordPress网站实施暴力破解，曾在2017年被广泛报道。

根据Marco Ramilli的说法，该木马的典型行为与HEUR.Trojan.Win32.Generic非常相似，包括：

一旦该木马安装成功，就会通过暴力破解来寻求弱口令凭证，而一旦发现了弱口令凭证，就将pik.zip复制到这些WordPress网站中。

Marco Ramilli认为，此次攻击活动背后的攻击者显然试图通过多种渠道来牟利——勒索病毒和加密货币挖矿脚本。此外，攻击者还试图通过受感染计算机来暴力破解并控制随机的WordPress网站。这样的攻击活动工作量显然非常大，且很容易被检测到。因此，攻击者不太可能是某个国家黑客组织，而只是一群想要同时通过多种方式来牟利的网络犯罪分子。

❺ 电脑中挖矿病毒了怎么办

电脑中病毒，那么最好的解决办法就是格式化系统盘或是全盘，或是重新分区后重装系统，通过系统光盘或是制作的u盘启动盘来安装，通过快捷键或是进入bios中设置开机启动项从cd或是usb启动然后安装系统，这样电脑就可以恢复正常使用运行的

❻ 比特币病毒什么时候在中国爆发的

5月12日开始，比特币勒索计算机病毒在全球爆发。目前，全英国上下16家医院遭到大范围攻击，中国众多高校也纷纷中招。黑客则通过锁定电脑文件来勒索用户交赎金，而且只收比特币。

而在这次爆发的全球性电脑病毒事件中，手机中国也收到了一封勒索邮件，幸好收到邮件的这个机器是一台测试机，没对我们造成什么影响。不过，对于毕业季的高校生就不一样了，论文被锁那可是关乎到毕业的。那么面对这次爆发的勒索病毒，大家该怎么样应对，做哪些防护措施呢？

首先来了解一下这次的病毒特性

黑客发起的这个电脑病毒会将系统上的大量文件加密成为.onion为后缀的文件，中毒后被要求支付比特币赎金才能解密恢复文件，对个人资料造成严重损失，而杀毒软件并不能解密这些加密后的文件。但大家也千万不要听信黑客所谓的“给钱就解密”的说法，因为黑客不一定会严守信用，另外比特币价格不菲，对普通用户来说也是一笔不小的数目。

其次需要注意病毒爆发的背景

国内的专业人士表示，根据网络安全机构通报，这是不法分子利用NSA黑客武器库泄漏的“永恒之蓝”发起的病毒攻击事件。“永恒之蓝”会扫描开放445文件共享端口的Windows机器，无需用户任何操作，只要开机上网，不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。

由于以前国内多次爆发利用445端口传播的蠕虫，运营商对个人用户已封掉445端口，但是教育网并没有此限制，仍然存在大量暴露445端口的机器。据有关机构统计，目前国内平均每天有5000多台机器遭到NSA“永恒之蓝”黑客武器的远程攻击，教育网是受攻击的重灾区。

应对方法有哪些？

1.关闭445端口，具体操作方法大家可以自行搜索查询。

2.目前微软已发布补丁MS17-010修复了“永恒之蓝”攻击的系统漏洞，可尽快为电脑安装此补丁。

至于XP、2003等微软已不再提供安全更新的机器，微博的专业人士推荐使用“NSA武器库免疫工具”检测系统是否存在漏洞，并关闭受到漏洞影响的端口，可以避免遭到勒索软件等病毒的

❼ 挖矿病毒怎么处理

挖矿病毒处理步骤如下：

1、查看服务器进程运行状态查看服务器系统整体运行情况，发现名为kdevtmpfsi的挖矿进程大量占用系统CPU使用率。

2、查看端口及外联情况查看端口开放状态及外联情况，发现主机存在陌生外联行为。对该外部地址进行查询发现属于国外地址，进一步确定该进程为恶意挖矿进程：定位挖矿进程及其守护进程PID挖矿病毒kdevtmpfsi在运行过程中不仅会产生进程kdevtmpfsi。

6、查看redis日志通过查看redis配置文件/etc/redis.conf发现日志功能未开启。

7、查找敏感文件发现authorized_keys文件。

8、查看ssh日志文件查看ssh日志文件，发现大量登陆痕迹以及公钥上传痕迹。

❽ 英媒：比特币挖矿曝首例死亡事件

据《每日电讯报》网站7月22日报道，比特币开采被称为数字世界的淘金热。正是虚拟世界的克朗代克（位于加拿大西北部，以19世纪末的淘金热而闻名）可以让参与者一夜致富

报告说，尽管比特币矿工坐在计算机终端前，而不是在阿拉斯加的冰雪中挖掘，热衷于比特币开采的金矿商也开始意识到这一活动也可能是危险的

据报道，一名比特币矿工因试图提高计算机计算能力以获取更多比特币而在计算机爆炸中丧生，这可能是比特币开采造成的第一例死亡报告指出，26岁的泰国人Danai MAME的死亡，是由于缺乏对比特币开采活动的监管而导致的一系列工业事故中的最新一起

据报道，比特币开采是一个“众包”过程，全球数十万参与者可以通过该过程验证比特币交易并确保其合法性。这些所谓的矿商可以在完成一定数量的交易验证后获得比特币奖励

报告指出，该行业已经吸引了大量的新人，一些人声称每天可以赚取数百美元。然而，由于验证交易所需的高计算能力，许多矿工将多台计算机连接在一起以获得更多利润。这意味着，如果这些行为不受监管，它们将造成潜在的危险并对环境有害

据报道，MAME因多个计算机硬盘出现故障而心烦意乱。他迫不及待地等待维修人员第二天修理设备，并试图自己修理。结果，他引发了一场爆炸，死于触电

他的兄弟阿皮瓦说，当他周三早上与维修人员一起进入马姆的房间时，他发现自己已经死亡。阿比瓦说：“为了提高计算能力，他改装了电脑。”。我认为这不安全，但我哥哥自己把电脑改造成了比特币挖掘。他非常热衷于采矿我们判断他想亲自修理有故障的机器，但他触电了。”当地警察桑迪·舒舍武说。

报告指出，这起事故将加剧人们对比特币开采缺乏监管的担忧。目前，大多数采矿活动都是在亚洲进行的，因为这里有大量的廉价技术工人，根据英国剑桥大学的一项研究，全球比特币开采活动的年耗电量超过阿根廷

据报道，比特币开采事故时有发生。例如，在俄罗斯东部符拉迪沃斯托克附近，一名居民非法将他的计算机连接到一栋公寓楼的供电系统，导致公寓楼起火

#欧易OKEx# #比特币[超话]# #数字货币#