恶意文件名称：

瞄准平面设计工作者的挖矿行动

威胁类型：

后门、挖矿

简单描述：

攻击者采用恶意脚本与合法安装器Advanced Install相捆绑的方式，向目标主机释放远控木马M3_Mini_RAT或矿机lolMiner、PhoenixMiner，以达到控制目标主机或利用目标主机挖矿谋取利益的目的。

恶意文件描述

近期，深盾实验室在运营工作中发现了一起针对3D建模和平面设计从业者的挖矿活动，由于该类行业人员的电脑配置较高，攻击者可从中获取更丰厚的挖矿收益。

攻击者利用合法的安装器Advanced Install，将它与恶意脚本文件捆绑在一起，从而在安装时对目标主机上释放远控木马M3_Mini_RAT或挖矿软件LOLMine、PhoenixMiner，使用户在毫不知情的情况下被控制，或实施挖矿行为。

事件分析

攻击者采用两种方式对目标进行攻击。第一种方式通过合法安装程序释放并执行远程控制木马M3_Mini_RAT，以实现对受害者主机的控制。第二种方式则是释放并执行lolMiner或PhoenixMiner矿机，以利用受害者主机的GPU进行挖矿。

攻击方式一：释放远控木马

攻击者采用捆绑安装的方式，利用Advanced Install安装程序分两个阶段释放恶意脚本文件。当用户启动该安装器并进行交互式安装之前，位于临时目录下的脚本文件就已经被释放完毕。当用户点击安装按钮时开始释放第二阶段恶意文件，并调用系统进程启动恶意脚本，并最终在目标主机上运行远控木马M3_Mini_RAT。

第一阶段，用户启动被捆绑的安装器，名为core.bat的恶意脚本文件被释放在临时目录C:\\Users\\\\AppData\\Local\\Temp目录下。

该脚本主要功能是将后续释放在%Appdata%目录下的cor.ps1添加为计划任务，通过计划任务达到使用powershell每分钟隐秘执行一次该脚本的目的。恶意脚本core.bat内容如下：

第二阶段，当用户交互式点击“安装”按钮后，存在捆绑的安装程序会在C:\\Users\\\\AppData\\Roaming目录下生成名为Webgard的文件夹，并释放恶意脚本cor.ps1与经过加密的远控木马core.bin。

恶意脚本cor.ps1中存在攻击者自带的秘钥以及解密算法，主要功能就是解密远控木马core.bin并执行，使攻击者获得目标主机的访问权。恶意脚本cor.ps1内容如下：

在文件释放完毕后，安装程序调用系统程序msiexe.exe设置参数来隐藏执行恶意脚本core.bat。其中“AI_CORE.BAT”指定了需要执行的恶意脚本文件路径，“AI_EUIMSI=1”表明该程序在安装期间需要执行目标core.bat文件，由此完成整条攻击链，最终完成执行远控木马的目的。

完整攻击链如下图所示：

攻击方式二：释放挖矿文件

与上一种攻击方式类似，攻击者同样使用利用msiexec.exe隐秘执行脚本的方式，通过计划任务释放挖矿文件。

第一阶段，用户启动被捆绑的安装器，名为core.bat和win.bat的恶意脚本文件被释放在C:\\Users\\\\AppData\\Local\\Temp目录下。

脚本文件core.bat，主要功能是将后续释放在%Windir%目录下的脚本core.ps1添加为计划任务，通过计划任务调用powershell，每隔两小时隐秘执行一次该脚本。恶意脚本core.bat内容如下所示：

脚本文件win.bat，主要功能是将后续释放在%Appdata%目录下的脚本core.ps1写入计划任务，通过计划任务调用powershell，每隔两小时隐秘执行一次该脚本。恶意脚本win.bat内容如下所示：

第二阶段，当用户交互式点击“安装”按钮后，安装程序会在C:\\Users\\\\AppData\\Roaming目录下生成名为Winsoft的文件夹，并释放恶意脚本cor.ps1与经过加密的脚本文件core.bin。

恶意脚本文件cor.ps1与攻击方式一区别不大，其目的依旧是对core.bin进行解密，唯一不同点仅在于解密秘钥不同。

恶意脚本文件core.bin不再是远控木马，而是作为一个下载器，调用powershell去访问指定的url，并存放至指定目录中。恶意脚本文件core.bin通过解密后的内容如下所示：

在文件释放完毕后，安装程序调用系统程序msiexe.exe设置参数来隐藏执行%TEMP%目录下的恶意脚本core.bat和win.bat，由此完成链式计划任务创建，达到启动下载器进行远端下载的目的。

第三阶段，当计划任务以每两小时的频率第一次访问指定url下载文件后，标志着第三阶段文件释放完毕。下载后的文件被释放在C:\\Windows目录下，分别为恶意脚本文件core.ps1与core.bin，以及lolMiner矿机svshost.exe。

脚本文件core.ps1依旧用于解密并启动脚本文件core.bin，core.bin主要用于启动并监控矿机文件svshost.exe，启动该矿机的时候将指定一些参数，如挖矿算法、矿池地址、功率限制、停止温度等，以完成恶意挖矿行为。解密后的内容如下所示：

完整攻击链如下图所示：

恶意样本分析

在本次挖矿行动中，攻击者采用了M3_Mini_RAT作为远控工具控制受害者主机。该工具当前版本默认生成powershell脚本负载文件，虽有.Exe和.vbs文件生成的选项但却并不可选。

该远控工具拥有文件管理、进程管理、屏幕截图、麦克风劫持、CMD命令行等功能，具体界面如下图所示：

在生成的powershell负载中，首先预定义C2地址以及端口，并实现TCP连接功能。

在后续接连实现主机基本信息获取、驱动器与文件系统信息获取、进程信息获取等功能，部分功能如下图所示：

若TCP连接成功，则进入一个无限循环等待C2发来的指令，具体功能如表所示：

IOC

D2E35594DFC5FD087C36EC57C01BD96D

8FF15FF7CD352F8B521FEEAB121926EC

3ACC0E42D9ED6DD70F4FDF44FA03EA08

505625BE8CA7F6BA18245CA1C0DDC09C

33E1E601DE816EA72A1EAE92D0823F34

C3F0F141F6BC872A8FDD89DC7542E840

D5D01D003F3A321ACF0506D53D8616E0

055EAEC478C4A8490041B8FA3DB1119D

sysnod.duckdns.org

educu.xyz

51.178.39.184

解决方案

处置建议

1. 避免将重要服务在外网开放，若一定要开放，需增加口令复杂度，避免使用弱口令。

2. 避免打开可疑或来历不明的邮件，尤其是其中的链接和附件等，如一定要打开未知文件，请先使用杀毒软件进行扫描。

3. 安装信誉良好的防病毒/反间谍软件，定期进行系统全盘扫描，并删除检测到的威胁，按时升级打补丁。

来源：深信服千里目安全技术中心