騰訊御見：KingMiner 礦工已控制上萬服務器

區塊律動 BlockBeats 消息，騰訊安全御見威脅情報中心檢測到 KingMiner 變種攻擊，KingMiner 是一種針對 Windows 服務器 MS SQL 進行爆破攻擊的門羅幣挖礦木馬。該木馬最早於 2018 年 6 月中旬首次出現，並在隨後迅速發佈了兩個改進版本。攻擊者採用了多種逃避技術來繞過虛擬機環境和安全檢測，導致一些反病毒引擎無法準確檢測。

當前版本 KingMiner 具有以下特點：

1. 針對 MSSQL 進行爆破攻擊入侵；

2. 利用 WMI 定時器和 Windows 計劃任務進行持久化攻擊；

3. 關閉存在 CVE-2019-0708 漏洞機器上 RDP 服務，防止其他挖礦團伙入侵，以獨佔服務器資源挖礦；

4. 使用 base64 和特定編碼的 XML、TXT、PNG 文件來加密木馬程序；

5. 利用微軟和多個知名廠商的簽名文件作爲父進程，「白+黑」啓動木馬 DLL。

根據騰訊安全御見威脅情報中心統計數據，KingMiner 影響超過一萬臺電腦，其中受影響最嚴重的地區爲廣東、重慶、北京、上海等地。

安全建議

騰訊御見建議企業針對 KingMiner 挖礦木馬的技術特點採取針對性的防禦措施：

1. 根據微軟官方公告修復特權提升漏洞 CVE-2019-0803：

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0803

2、加固 SQL Server 服務器，修補服務器安全漏洞。使用安全的密碼策略，使用高強度密碼，切勿繼續使用弱口令，特別是 sa 賬號密碼，防止黑客暴力破解。

3、修改 SQL Sever 服務默認端口，在原始配置基礎上更改默認 1433 端口設置，並且設置訪問規則，拒絕 1433 端口探測。

4、企業用戶可在服務器部署騰訊御點終端安全管理系統，從而防範此類攻擊。

5、推薦企業使用騰訊御界高級威脅檢測系統檢測未知黑客的各種可疑攻擊行爲。御界高級威脅檢測系統，是基於騰訊反病毒實驗室的安全能力、依託騰訊在雲和端的海量數據，研發出的獨特威脅情報和惡意檢測模型系統。（https://s.tencent.com/product/gjwxjc/index.html）

原文地址：https://mp.weixin.qq.com/s/ZothuAaH-r1xH6HFUbz--A

歡迎加入律動 BlockBeats 官方社群：

Telegram 訂閱群：https://t.me/theblockbeats

Telegram 交流群：https://t.me/BlockBeats_App

Twitter 官方帳號：https://twitter.com/BlockBeatsAsia