挖矿病毒ProtectionX利用驱动保驾护航挖矿病毒ProtectionX利用驱动保驾护航

挖矿病毒ProtectionX利用驱动保驾护航挖矿病毒ProtectionX利用驱动保驾护航
1、挖矿病毒
近日,有安全研究人员追踪到一新型的挖矿病毒,该病毒与普通挖矿病毒有很大差异,普通挖矿没有特殊防护,而该病毒不但有还是采用了驱动进行防护,十分惊悚。
与多数挖矿病毒一样,感染主机会出现异常卡顿现象,且CPU占用率极高。该病毒使用了驱动保护,无法通过任务管理器中止病毒进程,很难查杀。深信服已将该病毒命名为ProtectionX。
感染ProtectionX病毒后,系统中会存在3个进程:母体1sass.exe及其子进程wuauc1t.exe与win1ogon.exe,注意名称中是“1”而不是“l”。其中win1ogon.exe进程占用大量CPU资源。

尝试终止1sass.exe进程,提示“拒绝访问”。而终止wuauc1t.exe和win1ogon.exe进程后,又会重新起来!这里,是因为有驱动保护了1sass.exe,而1sass.exe又防护了wuauc1t.exe与win1ogon.exe,环环相扣,多层护体。

2、行为分析
病毒执行流程如下:

主要包括3个模块:自保护、持久化以及挖矿模块。其中自保护模块用于保护病毒母体进程不被杀掉,持久化模块添加开机自启动,挖矿模块会进行挖矿并杀掉别的挖矿进程以及其他一些CPU占用高的进程。
2.1 病毒文件
病毒母体1sass.exe为一个win32程序,加了VMP壳。

2.2 自保护模块
释放ProcessExtended.dll模块到本目录并加载。

调用ProcessProtectionX函数。

ProcessProtectionX函数首先释放一个驱动文件到%Temp%目录,驱动文件名由7个随机的字母加数字组成。

安装驱动,服务名为hy5.5。

与驱动通信,将自身进程ID发送给驱动。

驱动中使用了SSDT HOOK,HOOK掉了NtOpenProcess从而实现进程保护。

删除驱动文件。

2.3 持久化模块
为1sass.exe添加自启动,注册表。

2.4 挖矿模块
挖矿模块包含两个进程:wuauc1t.exe和win1ogon.exe。由1sass.exe释放并运行,随后进入循环对这两个进程进程守护。

2.4.1 抢占资源
wuauc1t.exe的功能为抢占CPU资源,由1sass.exe释放到同一目录下并运行,运行时传入参数“win1ogon.exe”。

首先遍历系统进程并获取其CPU占用率。“Process\ % Processor Time”用于获取过程的所有线程在每个处理器上的处理器时间总和。

获取除传入参数“win1ogon.exe”、本进程以及“explorer.exe”以外的CPU占用较高的进程。


终止掉CPU占用较高的其他进程以及其他挖矿进程。

终止的其他挖矿进程列表如下:

2.4.2 挖矿
win1ogon.exe为挖矿进程,也是由1sass.exe释放到同一目录下并运行。矿池为pool.minexmr.com:7777。

有了其他两个进程的保驾护航,挖矿进程可以最大限度的利用系统资源进行挖矿。
3、解决方案
经常检测查杀病毒
病毒防御
1)及时给电脑打补丁,修复漏洞。
2)对重要的数据文件定期进行非本地备份。
3)更改账户密码,设置强密码,避免使用统一的密码。
4)可以尝试使用PC Hunter强制删除并结束进程1sass.exe、wuauc1t.exe、win1ogon.exe。
最后,建议各企业对全网进行一次安全检查和杀毒扫描,加强防护工作。
(作者:区块链安全档案,内容来自链得得内容开放平台“得得号”;本文仅代表作者观点,不代表链得得官方立场)链得得仅提供相关信息展示,不构成任何投资建议