比特幣等虛擬貨幣繁榮背後，黑產如何控制百萬電腦「挖礦」？
近日，山東警方破獲了一起製造木馬病毒感染普通電腦，並利這些電腦的閑置CPU資源「挖礦」的案件。
近日，山東警方破獲了一起製造木馬病毒感染普通電腦，並利這些電腦的閑置CPU資源「挖礦」的案件。
作者 |白金蕾
編輯 | 楊礪
7月20日，比特幣連續兩日突破7000美元，截止發稿已飆升至7357美元，約合人民幣49891元。虛擬貨幣繁榮背後，黑色數字產業鏈卻已經悄然將方向轉向「挖礦」（利用電腦硬體計算出虛擬貨幣的位置並獲取該貨幣的過程）領域。
近日，山東警方破獲了一起製造木馬病毒感染普通電腦，並利這些電腦的閑置CPU資源「挖礦」的案件。涉案的大連某高新技術企業控制了包含389萬台電腦的「殭屍網路」（指被木馬感染，可由遠程控制的電腦網路），涉案案值超1500萬元。這也是國內近期破獲的最大的非法入侵計算機案件。
針對以上案件，獨角鯨科技（ID：dujiaojingkeji）採訪了騰訊電腦管家高級安全專家李鐵軍，其詳解了近年來利用遊戲「外掛」、盜版視頻播放器傳播木馬的新方式，數字黑產發展的上下游產業鏈，以及黑產圍繞互聯網流量進行的變現。
吃雞遊戲「外掛」成傳播渠道
據了解，上述涉案的大連企業，表面業務是廣告營銷、軟體推廣。機緣巧合，圈內一位以寫吃雞遊戲「外掛」（遊戲作弊軟體）出名的程序員，找到上述企業進行軟體推廣，卻被該企業在軟體中植入了「tlMiner」挖礦木馬病毒。經過大連企業及其3500個代理商的推廣，該木馬感染了超100萬台電腦。
早期，編寫外掛的程序員並不知情，但在上述大連企業定期將「挖礦」收益分給該程序員後，該程序員也在「外掛」中植入了另一款挖礦木馬，專門挖HSR虛擬貨幣（又稱「紅燒肉」），僅此一項獲得非法收益近200萬元。大連企業則利用100萬台高性能計算機挖各種山寨幣，對其他200餘萬台進行廣告彈窗、應用下載業務，共計收益超1500萬元。單獨售賣「外掛」，單月單人僅能獲益不到百元，一般在30元至50元左右。
2017年年底，騰訊安全管家（PC端）及安全大腦（雲端）發現「tlMiner」木馬在一天之內感染超20萬台電腦，並且具有暗中挖礦、以正常應用程序夾帶木馬等行為，於是迅速鎖定被感染電腦的數量、控制伺服器的位置等信息，匯總給警方。經過半年時間，上述涉及389萬台電腦，經濟收益超1500萬的大規模入侵計算機案件告破，涉案人員均被處理。
據李鐵軍介紹，目前主流的「挖礦」木馬病毒，具有隱蔽強、智能化、利潤高，以及潛在危害大四個特點。
具體而言，相較此前的木馬程序，挖礦木馬不會改動用戶首頁、隱藏文件，甚至具有選擇性佔用用戶內存的特點，不易被感染者發現；木馬在計算機中運行時，具有自動檢測內存佔用、對抗同類木馬、調整挖礦幣種等智能化屬性；直接挖礦還改變了數字黑產的變現方式，無需再與下游企業結算，直接賣幣即可獲利。
值得注意的是，雖然目前該木馬感染用戶計算機後，只佔用閑置CPU資源挖礦，但與其他木馬類似，伺服器可對被感染計算機做任何事情，比如調用攝像頭、查看重要文件等。同時，挖礦對電腦硬體配置要求較高，主機經常長期高負荷運轉，顯卡、主板、內存等硬體會提前報廢。
此外，挖礦木馬除了植入在遊戲外掛中，還會植入在號稱可以看視頻網站付費內容的「仿冒」播放器中。以上軟體在運行時，都會提醒用戶「暫時關閉安全軟體、防火牆等」，讓用戶電腦處於無防護狀態。
「挖礦」成黑產最佳變現手段
「現在，市面上的木馬病毒一般只做兩種事情，一種是挖礦，一種是勒索」，李鐵軍告訴獨角鯨科技（ID：dujiaojingkeji）。本質上，去年大面積爆發的勒索病毒也是木馬病毒，只是其在入侵用戶計算機後，通過檢測用戶信息，了解用戶身份，進而對高凈值人群進行勒索。今年以來，勒索病毒大面積爆發減少，但精準性增強，尤其針對政府、醫院及企業高凈值人群的案件增多。最近的新趨勢則是，以木馬控制「殭屍網路」給直播、短視頻網紅點贊、刷評論、彈幕等，但並非主流趨勢。
此前，木馬的製造者，還會通過控制「殭屍網路」打Ddos攻擊（分散式拒絕服務攻擊，可短時間致使某網站癱瘓）、運行彈窗廣告，以及暗中下載應用軟體等，目前這些行為都在減少。這也反應出木馬黑產背後的產業鏈正在變短。
李鐵軍認為，由於木馬病毒所從事的事情正在減少，計算機安全防範正在變得簡單，用戶只要安裝殺毒軟體、定期更新、不主動關閉，可以防範超95%以上的木馬病毒。
從變現角度講，原有木馬黑產需要通過各種手段入侵電腦，控制「殭屍網路」，然後轉讓給其他控制者，打DDos攻擊獲利。或者給廣告主做彈窗廣告，給應用程序做非法下載，再由下游公司進行結算，均是間接變現。挖礦木馬的出現，讓黑產上游可以直接將挖到的山寨幣存入錢包，交易變現，降低了個人木馬編寫者的入門門檻。
「木馬行業的黑產都是圍繞流量變現展開的，互聯網產業往哪個方向走，黑色產業就往哪個方向走，基本上是一一對應的關係」，李鐵軍告訴獨角鯨科技（ID：dujiaojingkeji）。在早期是廣告，因為早期互聯網軟體都是利用廣告的方式來變現，黑產就控制別人的機器來彈廣告;後來軟體分發成為一個趨勢，黑產就在用戶不知情的情況下裝很多軟體；直到現在挖礦的出現，改變了整個作戰形勢，掙錢特別直接。「鎖定主頁、彈窗廣告、下載軟體等惡意行為變少了，都在挖礦。」
TAG:獨角鯨科技 |