app Miner挖矿木马活动分析
内容提要
安天CERT监测到一种名为“app Miner”的挖矿木马，自2024年3月起活跃。该木马根据系统环境下载挖矿程序，动态调整运行参数以避免过度占用CPU资源。其攻击流程包括估算哈希率、查找可写目录和下载挖矿程序等，具备多种功能但默认未开启。攻击者利用多种技术实现持久化和权限提升，影响系统资源。
关键要点
-
安天CERT监测到名为“app Miner”的挖矿木马，自2024年3月起活跃。
-
该木马根据系统环境下载挖矿程序，动态调整运行参数以避免过度占用CPU资源。
-
攻击流程包括估算哈希率、查找可写目录和下载挖矿程序等。
-
该木马具备多种功能，但默认未开启，主要包括计划任务函数、服务函数、进程检查函数等。
-
通过控制线程数量，确保CPU资源占用不饱和。
-
支持查找系统中正在运行的竞品挖矿进程，并可结束这些进程。
-
下载挖矿程序时使用多种工具，如wget、curl、perl、Python等。
-
安天梳理了本次攻击事件对应的ATT&CK映射图谱，列出了攻击者使用的技术点。
-
IoCs包括多个IP地址，表明与该木马相关的网络活动。
延伸解读
挖矿木马的隐蔽性
app Miner挖矿木马通过动态调整CPU资源占用，避免被用户察觉。这种隐蔽性使得木马在长时间内潜伏于系统中，增加了被发现的难度，用户需定期检查系统资源使用情况，以防止潜在的挖矿活动。
攻击流程的复杂性
该木马的攻击流程涉及多个步骤，包括估算哈希率、查找可写目录和下载挖矿程序等。这种复杂性意味着攻击者可以根据不同的系统环境灵活调整策略，用户在防范时需关注系统中是否存在异常的网络活动和进程。
技术手段的多样性
app Miner使用多种工具（如wget、curl等）进行下载，这表明攻击者具备较强的技术能力。用户应加强对这些工具的监控，确保系统中不被恶意使用，同时定期更新安全防护措施，以应对不断变化的攻击手段。
延伸问答
app Miner挖矿木马的主要功能是什么？
app Miner挖矿木马的主要功能包括估算哈希率、查找可写目录、下载挖矿程序等，具备多种功能但默认未开启。
app Miner是如何避免被用户发现的？
app Miner通过动态调整运行参数，控制CPU资源占用不饱和，避免因资源消耗过多而被用户发现。
app Miner的攻击流程是怎样的？
攻击流程包括估算哈希率、查找可写目录、下载挖矿程序，并设置挖矿配置文件进行挖矿。
app Miner使用了哪些下载工具？
app Miner使用wget、curl、perl、Python等工具下载挖矿程序。
app Miner如何处理竞品挖矿进程？
app Miner支持查找系统中正在运行的竞品挖矿进程，并可以结束这些进程。
app Miner的IoCs有哪些？
app Miner的IoCs包括多个IP地址，如157.230.106.100、111.48.208.225等，表明与该木马相关的网络活动。
