数字货币挖矿成热门，不法分子利用游戏辅助程序挖矿

数字货币“挖矿”，通俗地说，就是猜数字、解决问题。如果猜对了，可以获得数字货币奖励。目前已知的数字货币有100多种，包括比特币、莱卡、门罗币等常见类型，近年来其价格一直在快速增长。以比特币为例，目前1个比特币的价格为14,841美元，折合人民币97,140元。 2017年初，1个比特币的价格仅为1000美元，短短一年内其价格就上涨了十多倍。巨大的利润吸引了越来越多的矿工投入更多的算力资源进行挖矿，也让他们的计划上了网友的心头。

腾讯电脑管家近期捕获的HSR挖矿木马隐藏在《绝地求生》的辅助程序中。由于《绝地求生》对电脑性能要求较高，犯罪分子将目标锁定在《绝地求生》玩家的电脑上，相当于找到了《绝地求生》玩家的电脑。 “优秀”的矿机。经分析，已确定该挖矿木马名称为某游戏辅助团队发起，已影响数十万台用户机器。

PUBG助手启动流程：

（HSR币，网上昵称“红烧肉”币，是一种新型去中心化、开源、跨系统的双侧链数字加密货币，同时兼容区块链和DAG分布式系统。HSR于今年6月完成ICO并上线） 8月20日在中国比特币交易平台上，目前交易价格接近200元，仍在上涨；与比特币类似，HSR币数量也是固定的，总量约为8400万枚）

0x2 详细分析

该辅助程序用易语言编写，包括辅助主程序、依赖库和白色应用程序文件.dat。

主程序添加了4层shell：两层upx压缩，一个简单的加密shell，以及部分VM代码。解密算法也被混淆以抵抗反编译。

解密后的代码分为4个字节一组，可以通过减法来解密。

辅助启动后，系统的白色文件会被复制到当前目录.dat，默认会复制mshat.exe。如果复制失败，则会从内置列表中依次复制。可利用的系统文件列表如下：

复制完成后，启动.dat进程。主程序中内置有一个PE文件mgr.exe。内存加载方式替换的内存是mgr。 PE 标头在替换过程中被故意擦除，以防止内存转储。此时属于辅助主界面程序，负责辅助更新、模块投递、挖矿木马投递。

主程序启动后，在线访问进程列表。

这是一个木马进程检查黑名单，大部分都是安全软件。如果机器上正在运行以下进程，则会提示用户关闭或卸载这些软件。

辅助主界面：

辅助开启后，从服务器拉取配置文件。目前，已知辅助设备有 3 台服务器：

下载后解压文件，里面有一些辅助功能配置文件。

拉取辅助配置文件后，将从服务器拉取挖矿程序.exe。

下载成功后会在c:\\\.exe中释放并设置开机启动。

该程序基于2.0开源挖矿程序。是一款基于GPU的挖矿程序，兼容Linux，目前支持HSR、.NET等58种虚拟货币的挖矿。

目前，该挖矿木马专门开采HSR币。按照目前的交易价格，1算力每天可以赚取2.014元人民币。

由于个体挖矿产出能力有限，很可能没有收获。该木马会利用矿池进行挖矿。连接的矿池地址为：

hcash..cn：双友矿池，用户名为tlwg.TCCS3

hcash-..cc：Nova 上海矿池，tlwg.PUBG

矿池作为一个平台，允许所有有算力的机器参与挖矿。如果获得奖励，将根据各自机器的算力进行分配。目前 HSR 硬币的产量约为每天 624.93 个硬币。

高铁币价格自12月15日起开始上涨，目前交易价格为174元，且仍在上涨中。

0x3 溯源

虽然该辅助工具已经存在很长时间了，但本次发现的挖矿木马是在12月8日新辅助版本发布后才开始植入该辅助工具。从传播趋势来看，该木马开始影响用户机器12月8日，12月20日达到最高峰。仅20日，就有近20万台机器受到挖矿木马影响。

该辅助程序于12月22日晚宣布终止。

然而，巨大的利润驱使犯罪分子于12月25日重新开放辅助和挖矿功能。

根据留下的社交群号，找到了多个超级群，而且这些超级群都已满。

从创建日期来看，部分是挖矿木马上线当天创建的。

根据社交群文件找到辅助下载地址：

打开后得到网盘下载地址。在资源目录中，你发现除了绝地求生助手之外，还有其他加速器破解版。

经核实，该加速器也被植入挖矿木马：

据了解，这两个程序是由网吧联盟团队开发的。 《绝地求生》助手也可以在 BBS 上找到，下载量已超过 10,000 次。

进入工会频道，有一个24小时机器人在推销这位助理。该公告还提示用户卸载防病毒软件。

此外，下载网站也疯狂传播辅助程序。经分析，网上搜索“吃鸡”、“绝地求生”等关键词以及搜索页面顶部的下载站辅助程序也携带挖矿木马。从图中可以看出，仅这个下载器辅助的下载量就达到了10万。

0x4 安全建议

1、开启系统自动更新并及时打补丁，防止恶意木马被利用；

2、服务器避免使用弱密码，不给不法分子可乘之机；

3、当机器速度慢时，应立即检查CPU使用率。如果发现可疑进程，可以及时关闭；

4、不浏览色情、辅助等被标记为不可信的网站；

5、不要使用辅助和来历不明的软件。使用软件前先用安全软件进行扫描，并使用腾讯电脑管家拦截并查杀此类挖矿木马。