门罗币挖矿样本轻度排查

一、起因

安装的一个软件需要再关闭杀毒软件的情况下才能安装，笔记本开机后cpu利用率飙升，很可能是中了木马。

任务管理器.jpg

二、排查

1.从任务管理器可以看到名为m6g.exe的进程占用了大量cpu资源，在c:\windows\temp目录找到m6g.exe，上传到VT，多个引擎标记了该木马为门罗币挖矿木马。

图片.png

2.使用安全工具来分析行为
process hacker查看到与m6g.exe通信的远端服务器ip，与大量的powershell进程。

110.172.100.87
121.9.244.196

图片.png

powershell.jpg

wireshark捕获通信流量包，过滤查看m6g.exe与服务端通信内容，查看到一些矿池信息。

图片.png

查看计划任务与WMI，在计划任务中发现多个随机命名的任务会执行poweshell脚本，从远端服务器下载挖矿木马到本地，火绒杀毒查杀m6g.exe文件后，ps1脚本又会从服务器下载m6g.exe到本地执行，然后火绒又查杀，这个过程一直持续着...

图片.png

图片.png

三、木马信息

1.下载服务器的URL地址

http://167.99.227.91
110.172.100.87
121.9.244.196

2.挖矿地址

t.awcna.com:443
t.awcna.com/x.js
down.ackng.com

3.钱包地址
记录有矿池地址和钱包地址的.json配置文件被我误删 ^ ^

有兴趣的大佬分析下

四、处理

删除执行powershell脚本的任务计划
使用火绒杀毒全盘查杀
(文章对门罗币挖矿木马的分析仅仅做基本处理，更高层次分析需要逆向m6g.exe，VT的样本hash：b45c98d40fd91c939e7f7bddd47d61f8ad99795d8dcd5265628558dfe335e989)