TACERT台灣學術網路危機處理中心

[技術]CryptoCurrency挖礦軟體與遊戲和診斷工具玩起捉迷藏

發佈日期：2018-06-12

參考位址： https://www.bleepingcomputer.com/news/security/cryptocurrency-miner-plays-hide-and-seek-with-popular-games-and-tools/

消息內容：

CryptoCurrency挖礦軟體與遊戲和診斷工具玩起捉迷藏

新聞來源：BleepingComputer

當電腦中的CPU使用率很高時，遊戲的回應速度會變慢，幀率會下降，最終導致遊戲停頓無法運作。為了診斷這些問題，用戶通常會開啟Task Manger、Process Explorer或Process Hacker來確定是否有程序使用太多CPU的資源。

了解這點後，此挖礦木馬的開發者做了一件非常聰明的事情；他們在熱門的遊戲或Process Manager開啟時，就會停止挖礦木馬。這會使電腦在運行特定遊戲或診斷CPU此用率時看起來沒有問題。

挖礦軟體與流行的遊戲和公用工具玩起捉迷藏

在安裝時，會在C:\ProgramData的目錄中建立一個名為lostream.exe的文件，並建立一個名為“WindoesRecoveryCleaner”的計畫任務，在用命令列執行它：
schtasks /create /tn WindowsRecoveryCleaner /tr C:\ProgramData\Iostream.exe /st 00:00 /sc daily /du 9999:59 /ri 1 /f

上述的命令會讓該任務在每天晚上12點時執行，每分鐘重複一次。這點會讓挖礦軟體在終止後快速地重啟。

一但啟動後，Iostram.exe將會注入到合法的C:\Windows\system32\attrib.exe執行檔。Attrib被用於更改文件上的某些屬性，通常在更改完成後關閉。但是透過將挖礦軟體注入到Attrib.exe中，該程式不會被關閉，除非他被終止。

在運作時，挖礦軟體將會不斷地查詢程序運行的列表。如果他檢測到Process Explorer、Task Manager、Process Monitor、Process Hacker、AnVir Task Manager、PUBG遊戲、CS:GO遊戲、Rainbow Six或Dota 2等遊戲，它將終止Attrib.exe與Iostream.exe程序。

監控程序的完整列表如下：
Taskmgr.exe
taskmgr.exe
ProcessHacker.exe
procexp.exe
procmon.exe
anvir.exe
dota2.exe
csgo.exe
TslGame.exe
RainbowSix.exe

一但監控程序終止後，計畫任務將會在一分鐘內再次運行挖礦軟體。這會讓挖礦軟體能夠根據需求來終止或者在黑名單程序關閉時自動重新運行。

如同所看到的，這是一個非常聰明的方法，可以讓挖礦軟體保持不被發現，因為它只能在不被檢測到增加的CPU使用率的時候運行。 目前，遊戲列表相當少，希望將來可以增加像是Fortnite等其他流行遊戲。

回最新消息列表頁