NSISMiner挖矿木马变种卷土重来 已获非法收益18个门罗币

腾讯安全御见威胁情报中心监测发现，自2017年2月诞生的MyKings僵尸网络近期活跃度上升，该僵尸网络主要危害是控制僵尸电脑进行DDoS攻击、配置代理服务器、传播远程控制木马、传播挖矿木马。除此以外，该团伙近期还开始利用新注册域名传播NSISMiner挖矿木马，并同时打劫比特币矿工和参与数字加密币交易的人群。

分析发现，本次活跃的NSISMiner挖矿木马除了启用新矿池和钱包挖矿，还会劫持剪贴板，一旦监视到中毒电脑有数字虚拟币交易，会立刻将收款钱包地址替换为病毒控制的钱包地址，轻易将受害者资金抢走。MyKings僵尸网络传播的NSISMiner挖矿木马，已收益18个XMR（门罗币），折合人民币约5600元。如果将数字货币的“钱包”比作银行卡，那么钱包地址就相当于银行卡号。钱包地址是一长串字符，交易时为避免出错，往往使用复制粘贴的方式操作，因此，NSISMiner挖矿木马监视、劫持剪贴板能够轻易得手。

截止目前，该挖矿木马传播量有小规模上升趋势。腾讯安全提醒广大企业用户，务必提高网络安全意识，关闭不必要的端口和共享文件，以防不法黑客入侵、篡改和破坏。

（图：MyKings僵尸网络变种近期呈小幅增长趋势）

自2017年2月诞生以来，MyKings僵尸网络以变种速度快而著称。去年5月，该木马利用NSIS的插件和脚本功能实现挖矿木马的执行、更新和写入启动项，同时具备通过SMB爆破进行局域网传播的能力；10月，该木马变种新增钱包地址劫持模块，具备检测剪切板内容中的比特币、门罗币、以太坊等25种数字加密货币钱包地址、和电子支付系统(WebMoney、YandexMoney、Steam)相关卡号的能力。

（图：MyKings僵尸网络变种新矿池已挖取18个XMR）

此次MyKings僵尸网络变种不仅传播恶意代码进行挖矿，而且还在局域网内利用SMB爆破攻击主动扩散，对企业用户危害严重。腾讯安全反病毒实验室负责人、腾讯电脑管家安全专家马劲松提醒广大用户，尽量关闭不必要的端口；建议局域网用户切勿使用弱口令，防止病毒通过SMB暴力破解在局域网内主动扩散；推荐企业用户使用腾讯御点终端安全管理系统保护电脑安全。

（图：腾讯御点终端安全管理系统）

据了解，腾讯御点终端安全管理系统除了能够有针对性地查杀病毒攻击外，还与腾讯御界高级威胁检测系统、腾讯御见安全态势感知平台以及腾讯御知网络空间风险雷达等产品，在终端安全、边界安全、网站监测、统一监控方面为企业用户建立一套集风险监测、分析、预警、响应和可视化为一体的安全体系，提供行业解决方案，全方位立体化保障企业用户的网络安全。