“剁手党”们终于度过了“双十一”这个令钱包变瘪的购物节，不过也有许多“佛系买家”并没有参与到这场狂欢中。但是，有几位“佛系”网友反映，自己虽然没有剁手买买买，却因为巨额电费而面临吃土的困境。 原来，这几位网友是由于电脑中不幸被植入了挖矿木马，不仅电费比以前多了不少，连电脑都变的卡慢无比，濒临退休。 “挖矿木马”兴起于 2012 年，自 2017 年下半年开始进入普通网民视野，在 2018 年上半年依旧保持迅猛的发展速度。那么最近挖矿木马又有什么新趋势呢？宅客频道就在 360 最近发布的《2018 年下半年挖矿木马攻击趋势报告》中扒了扒。（本次提到的挖矿木马攻击，不包括网页挖矿攻击）
2018 年上半年每月遭到挖矿木马攻击的计算机数量变化趋势 Windows 平台挖矿木马呈缓慢下降趋势 下图展示了 2018 年下半年以来每日遭到挖矿木马攻击的计算机数量。可以看出，到 8 月中旬达到最高峰之后，攻击开始呈现缓慢下降趋势，10 月后数据基本稳定。
2018 年下半年每日遭到挖矿木马攻击的计算机数量 造成挖矿木马攻击数量下降的直接原因是多个大型挖矿僵尸网络在 8 月至 10 月之间更新缓慢甚至停止更新。以 Mykings 挖矿僵尸网络为例，Mykings 入侵时所使用的 Download URL 在 8 月、9 月两个月未进行更新，这也导致在这两个月中 Mykings 的网络扩建基本停滞。
Mykings 僵尸网络 2018 年下半年所使用的 Download URL 列表 攻击者也关注安全动态？ 而造成挖矿木马攻击数量下降另一个原因可能是 2018 年下半年公开的影响 Web 应用的漏洞 POC 相比较上半年和去年要少得多。 下表展示了 2018 年以来较常被挖矿木马家族利用的 Web 应用漏洞，这些漏洞适用性广、漏洞利用代码编写简单，因此倍受挖矿木马家族喜爱。但这些漏洞的 POC（漏洞概念验证）几乎都是 2018 年 5 月之前公开的，5 月之后就极少有类似的 POC 被公开，也就很难被挖矿木马家族所使用。没有新的漏洞利用加入将导致挖矿木马家族更新速度减缓，而老漏洞被修补也会使得挖矿僵尸网络“入不敷出”。
Web 应用漏洞 POC 的公开对挖矿木马的影响如何？下图展示了 WannaMine 挖矿家族 2018 年 4 月到 2018 年 5 月每星期攻击的计算机数量变化趋势。 由图中可见 WannaMine 家族攻击计算机数量在 4 月中旬后开始飙升，而 Weblogic 反序列化漏洞 CVE-2018-2628 的 POC 也正是在这个时候被公开。果不其然，国外安全厂商 Morphus Labs 发现了 WannaMine 家族在 CVE-2018-2628 的相关 POC 公开的数小时之后开始利用该漏洞进行攻击（https://morphuslabs.com/weblogic-exploited-in-the-wild-again-8b2047d1a9c4），这也和图中所示的攻击趋势吻合。可见，每当有新的适用于挖矿木马家族入侵的 Web 应用漏洞 POC 被公开，必然会带来一波巨大的挖矿木马攻势。
WannaMine 挖矿家族 2018 年 4 月-5 月攻击趋势 有趣的是，加密货币的价格与挖矿木马的攻击趋势并无明显关联。以绝大多数挖矿木马选择的币种门罗币为例。 如图所示，门罗币兑美元价格在 2017 年底达到顶峰，从 2018 年开始快速跌落。但这并没有阻止挖矿木马的爆发，在这段时间挖矿木马反而发展迅猛。而 8 月之后，门罗币价格有些许回暖，挖矿木马攻击趋势反而缓慢下降。可见，加密货币价格不是决定挖矿木马发展趋势的主要原因。
门罗币价格 2017 年 11 月-2018 年 11 月变化趋势 挖矿木马在攻击形式上与其他木马并未有太大区别，多是通过漏洞利用、弱口令爆破、非法应用传播等其他木马也使用的手段完成攻击。挖矿木马与其他木马的区别在于获利方式，加密货币的出现为木马提供一种简单粗暴的获利方式，即使加密货币价格下跌，其收益依然不低于 DDoS 服务、加密勒索等其他获利方式。此外，挖矿木马的获利方式相比较其他获利方式在风险成本上也更可控——攻击不会造成太大动静、法律风险也相对较低。因此攻击者更看重的可能是挖矿木马的这些优点，而非加密货币的价格。 针对 PC 的挖矿木马不容小视 Windows 服务器一直是挖矿木马的重灾区，下图展示了针对 Windows 服务器的挖矿木马与针对 PC 的挖矿木马在数量上的对比，针对 Windows 服务器的挖矿木马占比超过了 80%。攻击者将目光集中于 Windows 服务器的主要原因是服务器无论在性能上或者是在用户接触频率上对于攻击者而言都是极度友好的——服务器的性能大部分要远高于个人电脑，并且服务器大多是“疏于看管”的，挖矿木马可以长期潜伏。
针对 Windows 服务器的挖矿木马与针对 PC 的挖矿木马数量对比 不过这并不代表针对 PC 的挖矿木马可以被忽视。针对 PC 的挖矿木马家族 OnesystemCareMiner、HiddenPowerShellMiner、飞熊矿业等家族仍然在活跃中。图 7 展示了针对 PC 的挖矿木马的主要传播渠道分布，其中网页挂马和破解软件是这类挖矿木马最为常见的传播渠道。
针对 PC 的挖矿木马主要传播渠道分布 挖矿家族竞争激烈 在针对 Windows 服务器的挖矿木马家族中，具有僵尸网络性质的家族控制较多的设备，而不具备僵尸网络性质的家族只能在每次新的漏洞 POC 公开之后的一段时间发起一次或几次攻击，一旦攻击成功就植入挖矿木马，并不尝试对受害计算机进行持续控制，因此这类家族控制的资源较少。此外，不具有僵尸网络性质的挖矿木马家族数量要远大于具有僵尸网络性质的挖矿木马，因此每个家族能够瓜分到的资源更是少的可怜。
挖矿木马家族性质以及占用资源分布 如上图所示，具有僵尸网络性质的挖矿木马家族占据了 85% 的资源，这是不具有僵尸网络性质的挖矿木马家族的将近 6 倍之多，而这些资源只掌握在 WannaMine、Mykings 等几个家族手中。而另一边则呈现出了另一种场景——15% 左右的资源被数十个家族瓜分，这也加剧了家族之间的竞争。 在这种恶劣的竞争环境下，挖矿木马家族就需要一些特殊的技能让自己生存下来。“8220”组织就是具备这类技能的家族，除了在攻击代码中增加对抗其他挖矿家族的模块之外，“8220”组织还会时刻记录被入侵的机器信息以便在挖矿程序被安全软件或者被其他挖矿家族清除之后能够第一时间再次入侵机器植入挖矿木马。 这里有一组有趣的数据，如图所示，在“8220”家族在 5 月初更新载荷下载 URL 前后（图中红框所标出的条目），其入侵成功的计算机数量几乎不变，可见“8220”家族虽然不具有僵尸网络性质，但其仍然能将受害机器控制在手中。
“8220”挖矿木马家族 5 月初更新前后入侵计算机数量对比 随着漏洞利用的“小白化”，将会有更多攻击者加入这场资源争夺战中，不过资源只留给有准备的人，大多攻击者会渐渐消失在这个舞台上。 横向渗透是 Mimikatz 和“永恒之蓝”的天下 对于具有横向渗透功能的挖矿木马家族，Mimikatz 和“永恒之蓝”漏洞几乎是所有这类家族所使用的武器。这些家族中将近 70% 的家族带有“永恒之蓝”传播模块，30% 的家族带有 Mimikatz 横向渗透模块，如图所示。
使用 Mimikatz 和“永恒之蓝”漏洞进行横向渗透的家族比例 当然，这两款横向渗透利器不仅仅在挖矿木马家族中受欢迎，在其他攻击领域也被广泛使用，主要原因还是在于其功能强大并且操作简单，无论是对于新手还是对于专业黑产人员都是极其友好的。 最后，说了这么多挖矿木马趋势，有没有什么防护建议？ Windows 服务器挖矿木马防护建议：
PC 挖矿木马防护建议：
|
