勒索软件XIAOBA新作用：文件感染和加密货币挖矿
字数 1796 2025-08-20 18:17:07
XIAOBA恶意软件分析：文件感染与加密货币挖矿技术详解
1. XIAOBA恶意软件概述
XIAOBA是一种复杂的混合型恶意软件，最初作为勒索软件出现，现已被重新改造为具有文件感染和加密货币挖矿功能的多功能威胁。Trend Micro检测为PE_XIAOBAMINER。
主要功能模块：
- 文件感染器：感染可执行文件并保持宿主代码完整但不执行
- 加密货币挖矿机：注入Coinhive脚本和XMRig挖矿程序
- 蠕虫功能：自我复制传播能力
2. 文件感染技术分析
2.1 感染机制
- 感染扩展名：
.exe,.com,.scr,.pif - 感染目录：
%SystemRoot%,%ProgramFiles%,%systemroot%\system32等重要系统目录 - 感染特点：
- 不修改宿主文件代码但阻止其执行
- 对文件大小无限制（4KB到100MB+均可感染）
- 无感染标记，可能导致文件被多次感染
2.2 持久化技术
- 释放路径：
%systemroot%\360\360Safe\deepscan\ZhuDongFangYu.exe%systemroot%\svchost.exe
- 禁用安全模式：
- 删除
safeboot注册表项
- 删除
- 修改hosts文件：
- 重定向安全相关URL到localhost
2.3 破坏性行为
- 删除特定类型文件：
.gho（AV磁盘镜像文件）.iso（CD镜像文件）
3. 加密货币挖矿功能
3.1 挖矿技术实现
-
Coinhive注入：
- 向
.html和.htm文件注入挖矿脚本 - 使用用户站点key：
yuNWeGn9GWL72dONBX9WNEj1aVHxg49E
- 向
-
XMRig挖矿：
- 部分变种包含32位和64位的XMRig挖矿程序
- 直接进行门罗币(XMR)挖矿
3.2 资源占用
- 高CPU使用率（通过浏览器加载挖矿脚本）
- 内存资源大量消耗
- 磁盘空间占用（由于重复感染和payload存储）
4. 传播技术
4.1 自我复制机制
- 使用BlackMoon封装器
- 关闭Windows用户帐户控制(UAC)通知
- 受感染文件执行时会释放并运行恶意副本
4.2 感染特征
- 在受感染文件中保留原始host文件信息（NORMAL.EXE）
- 单个文件中可能包含多达10个host文件信息
- 无规则的感染方式导致资源浪费
5. 变种分析
已发现两个主要变种，具有以下共同特征：
- 都使用Coinhive感染HTML文件
- 使用相同的用户站点key
- 感染相同的文件扩展名
- 都使用BlackMoon封装器
- 都禁用UAC通知
推测来源可能性：
- 同一开发者制作的不同版本
- 不同开发者基于相同源代码修改
6. 影响与危害
成功感染后会造成多方面影响：
- 系统功能破坏：
- 关键二进制文件失效
- 系统稳定性下降
- 资源消耗：
- 磁盘空间浪费（重复感染）
- CPU和内存资源被挖矿占用
- 安全防护破坏：
- 禁用安全模式
- 阻断安全相关URL访问
7. 防御建议
-
行为检测：
- 监控系统目录异常文件创建
- 检测高CPU使用率的浏览器进程
-
防护措施：
- 保持UAC启用状态
- 定期检查hosts文件修改
- 监控注册表
safeboot项变更
-
恢复策略：
- 定期备份关键文件（注意避开.gho和.iso扩展名）
- 使用可信来源重装受感染系统
-
网络防护：
- 拦截Coinhive相关域名
- 监控异常加密货币挖矿池连接
8. 技术对比：勒索软件与挖矿变种
| 特征 | 原始勒索软件 | 挖矿变种 |
|---|---|---|
| 主要payload | 文件加密 | 挖矿脚本注入 |
| 文件感染 | 有限 | 广泛且无差别 |
| 资源占用 | 中等 | 极高 |
| 传播方式 | 针对性 | 广泛传播 |
| 经济模型 | 勒索赎金 | 挖矿获利 |
| 隐蔽性 | 高 | 较低（因资源占用明显） |
9. 结论与趋势分析
XIAOBA的演变反映了恶意软件开发的几个趋势：
- 功能复合化：将多种恶意功能整合到单一payload中
- 经济驱动：从勒索转向更稳定的挖矿获利模式
- 技术复用：在已有恶意代码基础上快速开发新变种
- 破坏性增强：结合文件感染与资源占用造成多重影响
防御此类威胁需要多层防护策略，特别关注系统关键区域的异常变更和资源使用模式。