【重要預警】“永恒之藍”漏洞又現新木馬 組成僵尸網絡挖礦虛擬貨幣
責編：mhshi ｜2017-05-22 10:18:21WannaCry和UIWIX勒索軟件在全世界掀起了軒然大波，但是利用“永恒之藍”漏洞進行攻擊的卻不止這兩個惡意軟件。今日，亞信安全中國病毒響應中心發現了利用“永恒之藍”漏洞傳播的新型木馬文件，亞信安全將其命名為“TROJ_COINMINER.WN”。該木馬程序可以控制被感染的終端，形成僵尸網絡，并利用受感染的電腦來“挖掘”虛擬貨幣。亞信安全建議用戶使用亞信安全MS17-010漏洞掃描工具來快速發現此漏洞，此外，亞信安全最新病毒碼已經可檢測該木馬，亞信安全客戶可升級病毒碼版本來對木馬進行封堵。
當用戶的PC被感染成功之后，犯罪分子會控制被感染的終端形成僵尸網絡，并將感染終端作為計算節點來挖掘虛擬貨幣“門羅幣”，這很可能導致被感染終端的硬件負載居高不下，造成應用卡頓。
僵尸網絡的危害性：
僵尸網絡在犯罪份子的遠程控制下可以發起大規模網絡攻擊，如發送大量垃圾郵件、向網站實施分布式拒絕服務攻擊(DDos)和傳播惡意代碼。犯罪份子可隨意竊取受感染計算機的信息，用戶的隱私信息等。
?“挖礦”的由來
門羅幣依賴p2p網絡存在，和比特幣一樣都是網絡虛擬貨幣。門羅幣只能從特定算法中產生。如果你想要獲得門羅幣，除了通過交易外，還能夠通過計算憑空變出門羅幣——這個計算過程被稱之為“挖礦”。“挖礦”需要對節點大量進行哈希計算，這需要大量的計算機設備，并消耗大量電力，而挖幣的利益所得會被黑客竊取。 因此有黑客就利用僵尸網絡來控制受感染的主機（也成“肉雞”）來實現“挖掘”虛擬貨幣。
亞信安全中國病毒響應中心發現：該木馬程序會利用微軟“永恒之藍”漏洞來感染目標主機，感染之后會生成“%Windows%\Fonts\msiexev.exe”、“%Temp%\s1jc._Miner_.log”，查找并結束安全軟件相關進程并添加防火墻規則，以逃避查殺。之后，該病毒會鏈接外部C&C 服務器發送和接收信息，并配置用于挖礦的Lua腳本機用來挖礦。由于該C&C 服務器與UIWIX病毒中的C&C 服務器是同一個地址，據此推測可能是同一個組織所為。
【木馬挖礦配置界面】
亞信安全通用安全產品總經理童寧表示：“永恒之藍是一個較為嚴重的漏洞，在漏洞細節披露之后被大量網絡犯罪分子用來發動攻擊。由于很多用戶仍然沒有及時修補這一漏洞，因此我們可以預見在未來的一段時間內，由該漏洞引起的網絡攻擊事件將會更頻繁的出現?！?/p>
亞信安全建議用戶通過以下方式來防范“TROJ_COINMINER.WN”木馬：
使用亞信安全MS17-010漏洞掃描工具，掃描局域網哪些機器沒有打MS17-010漏洞對應的補丁程序，便于管理員有針對性的處理沒有打補丁機器。（工具下載地址：http://support.asiainfo-sec.com/Anti-Virus/Tool/亞信科技局域網MS17-010漏洞掃描工具.zip）
使用亞信安全端口掃描工具，掃描局域網中哪些機器開放了445端口，便于管理員有針對性的處理打開445端口的機器。（工具下載地址：http://support.asiainfo-sec.com/Anti-Virus/Tool/亞信科技端口掃描工具.zip）
使用WannaCry/Wcry勒索病毒免疫工具（同樣適用TROJ_COINMINER.WN木馬），該工具可以關閉SMB服務及445端口，還可以下載MS17-010對應的補丁程序（下載地址：http://support.asiainfo-sec.com/Anti-Virus/Tool/亞信科技wannacry免疫工具.zip）
使用TROJ_COINMINER.WN木馬專殺工具對病毒進行查殺（工具下載地址：32位http://support.asiainfo-sec.com/Anti-Virus/Tool/supportcustomizedpackage.exe? 64位http://support.asiainfo-sec.com/Anti-Virus/Tool/supportcustomizedpackage_64.exe）
【勒索病毒免疫工具】
亞信安全產品的客戶則可以通過以下措施來進行防護
亞信安全最新病毒碼版13.416.60已經包含此病毒檢測，請用戶及時升級病毒碼版本；
亞信安全服務器深度安全防護系統Deep Security 和亞信安全深度威脅發現設備TDA 已經于5月2號發布補丁能夠抵御“永恒之藍”漏洞的攻擊；
亞信安全深度威脅安全網關Deep Edge在4月26日已發布了針對微軟遠程代碼執行漏洞 CVE-2017-0144的4條IPS規則。