挖礦病毒的後綴

『壹』 《勒索病毒》是怎麼傳播勒索病毒怎麼回事

在5月12日，有一個勒索病毒攻擊了全球各個國家的電腦，導致很多電腦癱瘓，這里有人不知道這個勒索病毒是什麼回事，怎麼傳播，還有怎麼處理，這里我就來給大家介紹一下。

比特幣黑產鏈？

安全專家發現，ONION勒索病毒還會與挖礦機（運算生成虛擬貨幣）、遠控木馬組團傳播，形成一個集合挖礦、遠控、勒索多種惡意行為的木馬病毒「大禮包」，專門選擇高性能伺服器挖礦牟利，對普通電腦則會加密文件敲詐錢財，最大化地壓榨受害機器的經濟價值。

據外媒報道，與勒索病毒相連的比特幣賬戶已經有了不少進賬。由於勒索付費也突顯了比特幣無法被監管部門追蹤的特性。

『貳』 比特幣病毒什麼時候在中國爆發的

5月12日開始，比特幣勒索計算機病毒在全球爆發。目前，全英國上下16家醫院遭到大范圍攻擊，中國眾多高校也紛紛中招。黑客則通過鎖定電腦文件來勒索用戶交贖金，而且只收比特幣。

而在這次爆發的全球性電腦病毒事件中，手機中國也收到了一封勒索郵件，幸好收到郵件的這個機器是一台測試機，沒對我們造成什麼影響。不過，對於畢業季的高校生就不一樣了，論文被鎖那可是關乎到畢業的。那麼面對這次爆發的勒索病毒，大家該怎麼樣應對，做哪些防護措施呢？

首先來了解一下這次的病毒特性

黑客發起的這個電腦病毒會將系統上的大量文件加密成為.onion為後綴的文件，中毒後被要求支付比特幣贖金才能解密恢復文件，對個人資料造成嚴重損失，而殺毒軟體並不能解密這些加密後的文件。但大家也千萬不要聽信黑客所謂的「給錢就解密」的說法，因為黑客不一定會嚴守信用，另外比特幣價格不菲，對普通用戶來說也是一筆不小的數目。

其次需要注意病毒爆發的背景

國內的專業人士表示，根據網路安全機構通報，這是不法分子利用NSA黑客武器庫泄漏的「永恆之藍」發起的病毒攻擊事件。「永恆之藍」會掃描開放445文件共享埠的Windows機器，無需用戶任何操作，只要開機上網，不法分子就能在電腦和伺服器中植入勒索軟體、遠程式控制制木馬、虛擬貨幣挖礦機等惡意程序。

由於以前國內多次爆發利用445埠傳播的蠕蟲，運營商對個人用戶已封掉445埠，但是教育網並沒有此限制，仍然存在大量暴露445埠的機器。據有關機構統計，目前國內平均每天有5000多台機器遭到NSA「永恆之藍」黑客武器的遠程攻擊，教育網是受攻擊的重災區。

應對方法有哪些？

1.關閉445埠，具體操作方法大家可以自行搜索查詢。

2.目前微軟已發布補丁MS17-010修復了「永恆之藍」攻擊的系統漏洞，可盡快為電腦安裝此補丁。

至於XP、2003等微軟已不再提供安全更新的機器，微博的專業人士推薦使用「NSA武器庫免疫工具」檢測系統是否存在漏洞，並關閉受到漏洞影響的埠，可以避免遭到勒索軟體等病毒的

『叄』 比特幣病毒入侵，有什麼好的辦法防治嗎

比特幣病毒是一種敲詐病毒，該病毒是通過遠程對感染者的電腦文件加密，從而向這台感染電腦的用戶索要加密用戶電腦文件，從而向用戶勒索贖金，用戶文件只能在支付贖金後才能打開。它運用的是4096位演算法，這種演算法，普通電腦需要幾十萬年才能破解出來，超級電腦破解所需時間也可能得按年計算，國內外尚無任何機構和個人能夠破解該病毒，支付贖金是恢復文件的唯一辦法。說通俗一點，該病毒像一個擁有金剛不壞之身的搶劫者，路上的人們都是他的攻擊對象，而警察卻不能制服他。

那麼我們該如何防止它，避免讓自己的電腦中招呢？

1. 今後養成定期備份自己電腦中的重要文件資料到移動硬碟、U盤，備份完後離線保存該磁碟。這樣隨你刪，刪完之後我還有~

2. 要養成不明鏈接不要點擊，不明文件不要下載，不明郵件不要打開的好習慣。

3. 安裝最新的安全補丁，各大網路平台都可以找到

4. 關閉445、135、137、138、139埠，關閉網路共享。win10重啟後，微軟會自動處理這個漏洞。win7可以打開360衛士、電腦管家等，進行漏洞補丁的修復；而以被流放的XP 的用戶就只能自己手動關閉455埠了。

• 如何關閉455埠？

在控制面板中找到Windows防火牆，開啟防火牆，進入防火牆的高級設置，在「入站規則」中新建一條規則，本地埠號選擇445，操作選擇阻止連接。其他埠號也是同樣的方法。

最後祝大家好運~

『肆』 現在的病毒和木馬，有什麼區別

一、概念上的區別

計算機病毒（Computer Virus）是編制者在計算機程序中插入的破壞計算機功能或者數據的代碼，能影響計算機使用，能自我復制的一組計算機指令或者程序代碼。

木馬，全稱是「特洛伊木馬」，英文為Trojan Horse，來源於古希臘神話《荷馬史詩》中的故事《木馬屠城記》。而現在所謂的特洛伊木馬正是指那些表面上是有用的軟體、實際目的卻是危害計算機安全並導致嚴重破壞的計算機程序。

二、性質上的區別

計算機病毒具有傳播性、隱蔽性、感染性、潛伏性、可激發性、表現性或破壞性。計算機病毒的生命周期：開發期→傳染期→潛伏期→發作期→發現期→消化期→消亡期。

木馬是具有欺騙性的文件 ，是一種基於遠程式控制制的黑客工具，具有隱蔽性和非授權性的特點。

三，危害上的區別

病毒可以被設計為通過損壞程序、刪除文件或重新格式化硬碟來損壞計算機。而有些病毒不損壞計算機，而只是復制自身，並通過顯示文本、視頻和音頻消息表明它們的存在，但即使是這些「良性」病毒也會給計算機用戶帶來問題，比如會占據計算機內存。

特洛伊木馬不具傳染性，它並不能像病毒那樣復制自身，也並不"刻意"地去感染其他文件，它主要通過將自身偽裝起來，吸引用戶下載執行。

特洛伊木馬中包含能夠在觸發時導致數據丟失甚至被竊的惡意代碼，要使特洛伊木馬傳播，必須在計算機上有效地啟用這些程序，例如打開電子郵件附件或者將木馬捆綁在軟體中放到網路吸引人下載執行等。

現在的木馬一般主要以竊取用戶相關信息為主要目的，相對病毒而言，我們可以簡單地說，病毒破壞你的信息，而木馬竊取你的信息。

『伍』 NSA黑客武器庫泄漏的「永恆之藍」是什麼

2007年，美國國家安全局NSA開始實施棱鏡計劃，全面監視互聯網。
2013年6月，前中情局雇員愛德華斯諾登對媒體披露棱鏡計劃，並指出美國政府支持的黑客對全球多個國家進行了黑客攻擊。
2016年一個叫做「影子破壞者」的黑客組織公開拍賣美國國家安全局使用的部分攻擊工具，其中包含了微軟操作系統的一個漏洞（代號是永恆之藍），雖然微軟公司在今年三月份的時候發布補丁修復了這個漏洞，但因為大量低版本的Windows操作系統並不在微軟的服務范圍之內，所以仍然有數量巨大的用戶處於未受保護的狀態。隨著時間的推移，原本的准軍方武器，落入了黑色產業鏈的手上，並把它製作成為勒索病毒。

『陸』 比特幣病毒到底是什麼

昨天抽風去了電子閱覽室，剛插上U盤沒多久，老師就突然大聲說讓大家把U盤拔下來，有學生發現U盤里的文件全部都打不開了，還多了兩個要錢的文件。

於是大家都匆忙查看，只要U盤在學校電腦上插過的都中毒了，晚上出現大規模電腦中毒情況。

很多人的資料、畢業論文都在電腦中，真的覺得黑客這種行為太惡心了，為了錢，不管不顧學生的前途，老師畢生的科研成果……

希望盡早抓到犯罪分子，給予法律的嚴懲！

這個病毒會掃描開放 445 文件共享埠的 Windows 設備，只要用戶的設備處於開機上網狀態，黑客就能在電腦和伺服器中植入勒索軟體、遠程式控制制木馬、虛擬貨幣挖礦機等惡意程序。

一些安全研究人員指出，這次大規模的網路襲擊似乎是通過一個蠕蟲病毒應用部署的，WannaCry 可以在計算機之間傳播。更為可怕的是，與大部分惡意程序不同，這個程序可以自行在網路中進行復制傳播，而當前的大多數病毒還需要依靠中招的用戶來傳播，方法則是通過欺騙他們點擊附有攻擊代碼的附件。

這次襲擊已經使得 99 個國家和多達 75,000 台電腦受到影響，但由於這種病毒使用匿名網路和比特幣匿名交易獲取贖金，想要追蹤和定位病毒的始作俑者相當困難。

『柒』 WannaMine挖礦木馬手工處理

關於病毒及木馬的問題，都說老生常談的了，這里就不講逆向分析的東西，網上畢竟太多。就寫一下WannaMine2.0到4.0的手工處理操作。確實，很多時候都被問的煩了。

WannaCry勒索與WannaMine挖礦，雖然首次發生的時間已經過去很久了，但依舊能在很多家內網見到這兩個，各類殺毒軟體依舊無法清除干凈，但可以阻斷外聯及刪除病毒主體文件，但依然會殘留一些。此種情況下，全流量分析設備依舊可以監測到嘗試外聯，與445埠掃描行為。

WannaCry 在使用殺毒軟體及手動清除攻擊組件所在目錄後，仍需手動cmd命令刪除兩個系統服務sc delete mssecsvc2.0與mssecsvc2.1。

WannaMine 全系使用「永恆之藍」漏洞，在區域網內快速傳播。且高版本會在執行成功後完全清除舊版本。

下圖為WannaCry與WannaMine使用的永恆之藍攻擊組件相關文件。

WannaMine2.0版本

該版本釋放文件參考如下：
C:
C:Windowssystem32wmassrv.dll
C:.dll
C:WindowsSystem32EnrollCertXaml.dll 刪除系統服務名與DLL文件對應的wmassrv。

WannaMine3.0版本

該版本釋放文件參考如下：

C:.xmlC:WindowsAppDiagnosticsC:WindowsSystem32TrustedHostex.exeC:WindowsSystem32snmpstorsrv.dll

需刪除主服務snmpstorsrv與UPnPHostServices計劃任務

WannaMine4.0版本

該版本釋放文件參考如下：

C:WindowsSystem32 dpkax.xsl

C:WindowsSystem32dllhostex.exe

C:.dll

C:.dll

C:WindowsSysWOW64dllhostex.exe

C:WindowsNetworkDistribution

<pre style="margin: 0px; padding: 0px; white-space: pre-wrap !important; overflow-wrap: break-word !important; max-width: 98%;">文件名隨機組合參考• 第一部分：Windows、Microsoft、Network、Remote、Function、Secure、Application •第二部分：Update、Time、NetBIOS、RPC、Protocol、SSDP、UPnP •第三部分：Service、Host、Client、Event、Manager、Helper、System •rdp壓縮文件隨機字元串後綴：xml、log、dat、xsl、ini、tlb、msc</pre>

關於Windows下計劃任務與啟動項查看方式，建議在使用PCHunter、Autoruns、ProcessHacker等工具無法發現異常的情況下，可以到注冊表下查看。

注冊表下排查可疑的計劃任務

HKEY_LOCAL_

發現可疑項可至tasks下查看對應ID的Actions值

HKEY_LOCAL_ asks[圖片上傳失敗...(image-e8f3b4-1649809774433)]

計劃任務文件物理目錄
C:

新變種病毒有依靠 WMI 類屬性存儲 ShellCode 進行攻擊，Autoruns可以用來檢查WMI與啟動項並進行刪除，在手動刪除病毒相關計劃任務與啟動項時，記得刪除相應的文件與注冊表ID對應項。

注冊表下查看開機啟動項
HKEY_CURRENT_或runOnce [圖片上傳失敗...(image-8a357b-1649809774432)]