什么是Coin Miner恶意软件?特洛伊CoinMiner解释

Coin Miner是一种恶意软件,专注于通过在受害者的CPU或GPU上挖掘它们来获取加密货币。

您可能有兴趣查看我们的其他防病毒产品:
Trojan Killer, Trojan Scanner and Online Virus Scanner.

什么是Coin Miner?| CoinMiner恶意软件 | Gridinsoft

CoinMiner恶意软件

September 16, 2023

加密挖掘成为21世纪的淘金热。每个人都听说过它,许多人开始将其用作额外甚至主要收入的来源。然而,大笔资金不仅吸引了富人,还吸引了那些试图声称这些资金或让别人为他们致富的无赖。

Coin Miner是一种恶意软件类型,利用受害者计算机的硬件来挖掘加密货币。通常,控制这种Coin Miner病毒的骗子选择Monero(XMR)或(Litecoin)等加密货币,因为它们是最容易挖掘的。他们可以使用与合法挖掘相似甚至完全相同的软件,但有一个关键区别 - 使用硬件的人从未同意这样做。永远不会同意

加密挖掘恶意软件通常旨在在用户的CPU上进行操作。这是因为有很多PC,尤其是办公室中,没有GPU。尽管GPU挖掘效果要好得多,但对于骗子来说,成功启动每台PC都是重要的。他们用数量代替质量,这在所选择的加密代币中非常有效。

CoinMiner恶意软件如何工作?

正如前面提到的,加密矿工几乎做与真正的矿工相同的事情,有时甚至使用相同的代码库 - 来自开源工具。它们专注于使用硬件进行交易块哈希的计算。根据加密代币的不同,哈希可能包含64、128、256或更多个符号。这个操作是为了将交易信息添加到区块链 - 每种加密货币都有一个唯一的全球账簿。

加密挖掘方案

与CPU相比,GPU对这项任务更有效,因为它们具有成千上万的执行核心,而CPU通常只有4到8个。这就是为什么您可能在最后一次加密热潮期间听说了显卡价格飙升。您仍然可以使用处理器进行挖掘,但哈希计算任务是时间敏感的。如果您不能及时完成它,那么其他人将因为更快地完成而获得奖励。为了从两方面减轻这个问题,骗子选择容易挖掘的加密代币,并侵入数百台计算机以将它们添加到他们的网络中。因此,即使拥有旧的和弱的CPU,也会因其数量而得到补偿。

加密挖掘恶意软件通常服从命令服务器,只需独立决定一些小事情。然而,初始的Coin Miner设置几乎总是独立于服务器进行的 - 因为传播规模巨大。在设置完毕后,恶意软件将连接到服务器,检索统一的指令并开始运行。为了使这种连接更隐秘,骗子通常租用知名的托管服务器 - 幸运的是,他们目前使用加密货币支付。

2024年发现的特洛伊CoinMiner样本:

Risk.Win64.CoinMiner.sd!c13bcb4391388b7f4909e82a1ea13ea8ae314c07d7811cb58726ec0ca422bba15
Trojan.Win64.CoinMiner.saa9476079bb9e631c7172d501f4a61f23ecc4df8dfdd2933f37f19f1045b52ced
Risk.Win32.CoinMiner.dd!n71b74460c6df29403f388b6aceaeb39b59396dbc6b1443c2e44313631f3b3dd1
Trojan.Win64.CoinMiner.sa3d59de38d118097e029e040193dcf33f2574ec018e5eaf6fa98546cf51ed43f5
Trojan.Win32.CoinMiner.vb!s121767ffa756cc4091aea5de89038d9ccd08282b8c958e678aa7ee3764c807ebe
Trojan.Win32.Miner.cld585d25dc0667499972139cd2e2f6a6293d9aa8715c80397437d48dccccb29099
Trojan.Win64.CoinMiner.saa0230bd01bf90ca7fd0c2d10c1a115bf771a90c67f666401943a47d32a78d156
Trojan.Win64.CoinMiner.ca00748d7ea4ccfb6fc6ff59e3fe24c46b862ab3dd9c562ff6b13b5dfb31326bc6
Trojan.Win64.CoinMiner.sac605220d71491bb0b0b16869e35d02d7613f0258675cd9b860a1b56ebdceee74
Trojan.Win64.CoinMiner.dd!cb00bbff41e564dcba77dbbf3aa94dd332d91af99584abff68160b7f8abc500b0

如何感染Coin Miner病毒?

大多数Coin Miner通过特洛伊方式进入您的计算机 - 伪装成合法的应用程序或工具。它们传播的确切方式可能不同,这取决于管理分发的骗子的决定。但通常情况下,您将在被黑客入侵的应用程序、用于一些不太合法行动的工具中,以及电子邮件垃圾邮件中遇到Coin Miner。在某些情况下,您将被建议关闭您的防病毒软件 - 这已经应该被视为威胁。然而,正如前面提到的,即使在不对用户的安全设置进行任何操作的情况下,也有办法使它变得更加隐秘。

电子邮件垃圾邮件是传播Coin Miner恶意软件的一种流行方式
电子邮件垃圾邮件是传播Coin Miner恶意软件的一种流行方式

电子邮件垃圾邮件作为Coin Miner传播的方式相对较新,似乎在今天传播的不太多。2022年夏初,爆发了一大批这样的矿工,主要针对说西班牙语的国家。恶意软件隐藏在虚假的.docx、.xlsx、.pdf或.txt文件中,这些文件附加在电子邮件中。与传统的带有恶意宏脚本的文档内攻击不同,骗子使用了另一种更古老的方式 - 双重扩展名。默认情况下,Windows禁用文件扩展名显示,因此受害者只看到文档的“合法”扩展名。实际上,所有这些文件都是可执行的 - .exe扩展名隐藏在界面设置后面。

CoinMiner恶意软件是否危险?

一般来说,Coin Miner恶意软件会给PC使用带来很多不便。加密挖掘是一个非常资源密集的过程,因此使用参与挖掘的计算机几乎是不可能的。将CPU或GPU负载到极限,以至于甚至启动Web浏览器都可能很困难。挖掘会尽其所能地挤出尽可能多的电力,由于由黑客控制,您无法管理这个负载。

然而,这并不是挖掘的唯一危险。有效的哈希计算假定硬件持续负载,黑客永远不会错过利用他们感染的系统的机会,只要可能。对于CPU来说,长时间的负载并不是很关键 - 它们只有在硅晶体存在缺陷或散热片损坏时才可能发生故障。与此同时,GPU在挖掘过程中会受到严重磨损 - 一些型号在一个月内可能失去20%以上的性能,这取决于软件以及如何管理负载。通常情况下,这种情况发生在温度和硬件负载被不当管理时,但再次强调一下 - 那时网络犯罪分子关心受害者PC的状态是什么时候?

还有一个通常没有人谈论的风险。Coin Miners可以收集更具有间谍软件和窃取者特征的数据包。有关位置、受害者的真实IP地址、PC配置、个人信息等信息在数据库中的价值可能在Darknet中价值连城。而传播恶意矿工的无赖永远不会放弃获得金钱奖励的机会。嵌入间谍软件功能只需几分钟,对受害者来说,结果可能非常糟糕。

如何检测CoinMiner恶意软件?

Coin Miner活动的关键迹象是整个系统变慢。显然,当系统的关键元素被分散到另一个任务时,任何系统都很难工作。Coin Miner恶意软件排干了所有可用的电力,无论是10年前的Celeron还是Threadripper。此外,您肯定会听到您的散热风扇以最大的RPM比率旋转。然而,即使在日常任务中也可能发生这种情况,因此重要的是进行一些额外的研究。

有些东西将处理器负载到100%
有些东西将处理器负载到100%

与前述间谍软件相反,Coin Miner恶意软件从不隐藏其存在。实际上,这是不可能的,因为它的存在有一个不可移动的迹象 - 极端的硬件负载。由于它们无法摆脱它,它们试图将恶意进程(它肯定会出现在任务管理器中)伪装成已知和合法的东西。伪装的最常见形式是采用某个系统进程的名称。大多数用户对Windows的内部机制一无所知,因此无法判断后台运行的进程的适当性。看到一个进程的名称“winlogon.exe”或“msmpeng.exe”占据了他们70%以上的硬件性能对他们来说毫无意义,并且搜索结果可能会显示这些进程是Windows的一部分。然而,没有情况下这些进程可以占用这么多的CPU资源。当然,有一些例外情况,但它们非常罕见,最有可能的情况是您的系统中存在Coin Miner恶意软件。

Coin Miner病毒在您的系统中运行的典型迹象

  • 无论用户在PC上执行什么操作,CPU或GPU负载都很高;
  • 用户进程树中存在系统进程;
  • 无法通过重新启动解决问题,即计算机启动后立即出现CPU负载;
  • Microsoft Defender已关闭;

尽管如此,确保您确实遇到了这个问题的最好方法是使用防病毒软件。您当然可以猜测,而且猜测正确的机会可能非常高,但在这种情况下依赖机会不是一个选项。具有多个检测系统的专业软件将确实显示正在发生的一切,并在必要时删除入侵者。

如何保护计算机免受CoinMiner恶意软件侵害?

Coin Miners不容易预测和删除,因为它们的传播浪潮很少与其他恶意软件活动相一致。这种恶意软件更倾向于加密货币价值 - 它们要不太可预测。因此,您应该期望新的把戏和方法随着另一波加密热潮而来。

确保规避潜在的恶意软件来源是解决风险的最佳方法。当然,您不能禁止使用其主要来源 - 互联网 - 但肯定可以停止访问危险的地方,不要使用可能对您的系统造成损害的软件。不可信任的Warez网站提供了破解版本的流行应用程序、分享自制工具的论坛或Discord社区、未知发送者的电子邮件 - 这些都不应该信任。即使您确信该源不会传播恶意内容,最好在安装之前进行检查 - 您永远无法确定下一件事是否会是恶意的。

最终的方法,应该仍然作为最后的论据,是具有主动保护功能的高效防病毒软件。使用不太复杂的应用程序,您当然可以检测到已经运行的Coin Miner恶意软件,但主动保护可以阻止它在一开始就做任何事情。并且记住,Coin Miner病毒可以轻松充当间谍软件 - 并给予它更多的时间来行事意味着公开所有个人细节。GridinSoft Anti-Malware将使一切变得正常 - 快速而不给恶意软件任何机会。