全面清理整顿挖矿病毒，如何防止被通报？深信服挖矿病毒防护解决方案出炉

为有效防范及处置虚拟货币挖矿活动盲目无序发展带来的风险隐患，助力实现碳达峰、碳中和目标，近日，国家发改委举行新闻发布会，重点提及虚拟货币挖矿的全链条治理工作。这几天，各省级、市级、区县级政府和相关行业纷纷响应，通报了多家单位，要求相关单位及行业针对挖矿行为进行清理整顿。

01 整治高压下，仍有恶意黑客顶风作案

国家对虚拟货币的管控愈发严格，打击此类挖矿活动也将成为近期整治的重点。

挖矿行为不仅仅会导致组织的电脑卡顿、CPU 飚满、运维成本暴涨，一些挖矿的主机还可能会被植入病毒，导致组织重要数据泄露，或者黑客利用已经控制的机器，作为继续对内网渗透或攻击其他目标的跳板，导致更严重的网络安全攻击事件等。

擒贼先擒王，早在今年 7 月，深信服安全团队已经成功捕获到一款主流的挖矿病毒样本，并对其工作原理进行了揭秘。详细内容可点击查看：《支持双系统挖矿，警惕新型 AutoUpdate 挖矿病毒入侵》

AutoUpdate 挖矿病毒工作原理

1、通过钓鱼邮件、恶意站点、软件捆绑下载等方式诱导用户点击其恶意脚本程序。

2、在用户点击启动恶意脚本 loader.sh 后，该脚本将清除安全软件，下载启动程序（kworker）。

3、Kworker 程序检查并更新各功能组件，以及启动挖矿程序 dbus、攻击程序 autoUpdate、隐藏脚本 hideproc.sh、攻击脚本 sshkey.sh。

4、autoUpdate 程序扫描并攻击所在网段的 Struts2、Shiro、Mssql、Postgres、Redis、Dubbo、Smb 和 SSH 等组件、服务或协议漏洞，以及国内用户常用的泛微 OA、致远 OA、通达 OA、phpcms、discuz 等服务，并利用相关漏洞写入计划任务并执行。

5、通过 hideproc.sh 脚本隐藏进程，防止被用户发现。

6、通过 sshkey.sh 脚本尝试从 bash_history、etc/hosts、ssh/kownhost 及进程已有连接中提取该终端连接过的终端，如果可以成功连接则下载并启动脚本 loader.sh，达到传播目的。

7、挖矿程序 dbus 在受害者的设备上悄悄运行以便挖掘加密货币，同时将中毒设备上连接到一个矿池，为欺诈者获取未经授权的"免费"计算能力，欺诈者直接将"免费算力"挣来的加密货币放入自己的钱包。

即便在整治高压下，仍有恶意黑客顶风作案。近期，深信服安全团队在为某高校进行检测排查过程中，通过安全态势感知设备上的告警日志，精准检测到内网存在 30 台主机访问挖矿恶意域名的情况。最终在终端检测响应平台 EDR 应急响应专家的缜密排查下，成功定位到黑客，人赃俱获。

02 快速响应、轻量部署，全面围剿挖矿病毒

当前形势下，全面围剿挖矿病毒势不可挡，但如何快速检测处置成为各组织的燃眉之急。

基于长期对挖矿病毒的深入研究与多个案例实践，深信服推出『快速响应、轻量部署』的挖矿病毒专项检测处置，为用户提供两种有效检测挖矿行为的方式，并以"工具 + 服务"的方式实现精准处置。

如何有效检测挖矿行为？

下一代防火墙 AF 结合 AI + 规则库快速识别隐患

（1） 针对办公网或者生产网中存在的挖矿安全隐患

在互联网边界侧以旁路或串联的方式部署深信服下一代防火墙 AF，通过 AF 本地具备的 130 万僵尸网络特征库，结合深信服云端威胁情报，以恶意 URL 和 C&C IP 地址对比的方式来监测失陷主机的非法外联行为。

（2）对于无法识别潜在的挖矿外联行为

通过深信服下一代防火墙 AF 云端 NTA 检测引擎，结合 AI 技术与规则的闭环迭代技术，不仅能检测出不可读的随机字符构成的域名，还能检测出使用单词拼接方式仿造正常域名的恶意域名，快速识别异常外联流量，定位组织网络中的挖矿主机。

安全感知管理平台 SIP 内置挖矿专项检测模块

用户还可以选择通过镜像交换机流量到深信服流量探针，并传输至 SIP 平台进行分析。

深信服安全感知管理平台 SIP 内置了"挖矿专项检测"模块，通过「挖矿阶段图」、「受害资产」、「受害资产攻击数 Top5」3 个维度，将挖矿影响展现出来，用户可以清晰定位资产的受影响情况（受影响的资产数量、类别、所处阶段、攻击程度等）。

对于加密挖矿的场景，通过 UEBA 算法模型，发现用户、机器和其他实体在用户网络上的异常和危险行为，并确定此行为是否具有安全隐患，从而定位网络中的挖矿行为，帮助用户实现简单有效运营。

此外，还可以将 AF 和 SIP 接入深信服安全运营中心，安全专家可以进一步对检测到的异常外连行为进行多元分析，利用云端大数据分析平台和威胁狩猎平台，精准定位挖矿主机，同时为用户提供 7*24 小时挖矿行为持续监测服务。

检测到挖矿行为后，如何精准闭环处置？

终端检测响应平台 EDR + 挖矿处置专项安全服务

一旦在用户网络中发现挖矿病毒，深信服建议用户在网络中部署终端检测响应平台 EDR，通过结合深信服挖矿处置专项安全服务，以"工具 + 服务"的方式实现全网挖矿病毒处置工作。

挖矿病毒的处置主要包括 Linux 系统与 Windows 系统的处置：

（1） Linux 系统挖矿病毒的处置

通过定时任务/服务的清除、特定文件的删除、文件中特定内容的删除、目录的删除、指定文件的恢复、病毒进程文件处置、病毒文件删除等处置动作，彻底清除用户网络中的挖矿病毒。

（2） Windows 系统挖矿病毒的处置

通过进程内存处置、自启动目录文件删除、自启动配件文件的清除/修改，注册表项的清除/修改，计划任务删除、账号删除、WMI 自启动删除、文件的删除和恢复等处置动作，彻底清除用户网络中的挖矿病毒。

在挖矿病毒处置过程中，深信服安全专家通过对 AF、SIP、EDR 安全日志和流量的关联分析，可以帮助用户实现"边界-网络-终端"的整体联动，深度溯源找到挖矿入侵源头，清除病毒的同时协助用户完成安全加固。

03"检测-处置-预防"，构建立体化防护解决方案

值得注意的是，检测和处置只是应对挖矿病毒的应急手段。面对日益严峻的挖矿病毒威胁，深信服建议，用户应从预防思路出发，建设立体化的挖矿病毒防护解决方案，从源头杜绝挖矿病毒进入组织内部。

对于挖矿病毒的预防，深信服建议从边界侧、网络侧、终端侧三个方面建设立体化的防护体系。

通过在互联网边界侧部署深信服 AF，镜像核心交换机流量到深信服 SIP，同时安装深信服 EDR 在终端侧快速响应处置，结合深信服挖矿专项安全服务，构建集"检测-处置-预防"于一体的 7*24 小时挖矿病毒防护解决方案。

1. 化被动为主动，从源头避免损失

有效检测识别挖矿行为，避免挖矿病毒和程序长期潜伏；

2. 网端安全协同，精准闭环处置

快速处置感染主机、深度溯源，防止同类挖矿病毒复发；

3. 7*24 小时监测预警，贴心保障

加强安全防护措施，提供 7*24 小时监测预警机制，有效预防挖矿病毒入侵。