【安全预警】已感染数万设备！警惕ZombieBoy挖矿木马传播

​

      近日，某公司安全团队监测到一款名为ZombieBoy的木马悄然感染了国内外多个行业的用户主机。该木马包含内网扫描、“永恒之蓝”漏洞利用、“双脉冲星”后门、挖矿工具等多个恶意模块，是一款集传播、远控、挖矿功能为一体的混合型木马。其结构类似于“MassMine”，由于释放第一个恶意DLL文件时使用了一个名为ZombieBoy的工具，因此被命名为ZombieBoy挖矿木马。

病毒名称：ZombieBoy

病毒性质：挖矿木马

影响范围：目前已感染数万台设备，涉及多行业

危害等级：高危

传播方式：内网扫描、“永恒之蓝”漏洞利用

病毒描述

      ZombieBoy木马最早出现于2017年底，2018年下旬，安全媒体报道被该木马控制的主机多达七万台。日前，经某公司安全云脑数据监测发现，该木马在各个行业中迅速扩散。其中，安全防护较为薄弱的企业成为感染的重灾区，教育行业、政企单位等均受到不同程度的感染：

      从某公司的云脑监测数据来看，该木马感染区域没有明确的目标，全国各省以及国外用户均存在感染现象，其中感染量TOP5区域分别为广东省、浙江省、北京市、上海市、江西省。

感染现象

      受感染的主机上出现了未知IP策略的明显现象，该策略会将除了22.148.18.88之外连接445的IP全部阻止。

可疑IP地址查询为一个美国IP。

搜索最新创建的TXT文件，能发现大量IP.TXT文件，是该木马内网传播模块的日志文件：

出现执行木马目录下恶意文件的计划任务：

windows目录下创建一个5位随机字母的文件夹，并存在boy.exe木马文件：

存在恶意挖矿进程：

WinEggDrop开源扫描器进程：

永恒之蓝漏洞利用工具进程Cstrl.exe：

双星脉冲后门植入工具进程chrome.exe：

解决方案

AF

一 、确认当前设备版本和规则库版本

设备版本，建议升级至AF8.0.5及以上版本，同时开启杀毒功能，更新规则库至最新版本，以获取更好的防护效果及更快速的更新能力。

二 、开启安全功能

针对此次的“ZombieBoy挖矿蠕虫”防护，某公司AF建议针对【内网主机】，可以开启 “病毒防护功能”功能。同时防火墙设备启用“云脑”功能，使用云查服务可以即时检测防御新威胁。配置如下：

1、新增开启病毒防护功能的内容安全模板，如下图：

2、新增针对“内网主机”的防护策略，【策略】——【安全防护策略】——“新增”——“用户防护策略”，开启“内容安全”功能，动作选择“拒绝”。配置如下：

3、防火墙设备建议启用“云脑”功能，使用云查服务可以实时 检测防御新威胁。配置如下：

开启序列号功能：

确保设备联网正常，云脑接入正常：

SIP

一、SIP能连接互联网情况

IOC库到2019-7月10号平台将会自动升级，也可以手动触发升级

更新完成后如下，更新到2019年7月10号的IOC库。

二、SIP不能连接互联网情况

更新IOC库到2019年7月10号，点击下载

导入完成后，如下，更新到2019年7月10号的IOC库。

EDR

一、更新病毒库

更新病毒库到20190628110023及以上版本，即可对ZombieBoy挖矿木马处理进行查杀。

1、EDR管理平台能连接互联网情况：

通过以下界面检查EDR管理平台是否完成自动更新。

2、EDR管理平台不能联网情况：

通过以下地址下载离线病毒库，导入EDR管理平台更新。点击下载

病毒库需要解压，解压密码为sangfor，得到pkg文件，通过以下界面导入EDR管理平台。

二、开启安全策略

1、启用实时防护策略

针对内网终端启用实时防护策略，开启文件实时监控、勒索病毒防护、暴力破解检测，配置如下图：

通用解决办法

1、更新MS17-010漏洞补丁。

2、关闭业务上不需要的端口，如135、137、138、139、445等。

3、使用安全产品查杀木马文件及进程，某公司EDR产品、下一代防火墙及安全感知平台等安全产品均具备病毒检测能力，部署相关产品用户可进行病毒检测。

4、使用某公司安全产品，接入安全云脑，使用云查服务可以即时检测防御新威胁。

5、某公司为广大某公司免费提供查杀工具，可下载如下工具，进行检测查杀。

64位系统下载链接：

http://edr.sangfor.com.cn/tool/SfabAntiBot_X64.7z

32位系统下载链接：

http://edr.sangfor.com.cn/tool/SfabAntiBot_X86.7z

咨询与服务

您可以通过以下方式联系我们，获取关于ZombieBoy挖矿木马的免费咨询及支持服务：

1）拨打电话400-630-6430转6号线

2）关注【某公司技术服务】微信公众号，选择“智能服务”菜单，进行咨询

3）PC端访问某公司区bbs.sangfor.com.cn，选择右侧智能客服，进行咨询

我在社区摸爬滚打这么多年，所谓阅人无数，就算没有见过猪走路，也总明白猪肉是啥味道的。一看到楼主的气势，我就觉得楼主同在社区里灌水的那帮小混子有着本质的差别，你一定就是传说中的最强技术牛。

多谢分享。已经学习到了。

不错不错，证明实力的第一步。

非常不错，认真学习了~

最近到处都发现挖矿木马要特别注意

必须时刻警惕安全问题

每日学习一点新知识

打卡学习

点赞，优秀呀