【挖矿】MyKings挖矿概述及自查防护

@CANCANJUN

MyKings挖矿攻击

概述

MyKings是一个大规模多重僵尸网络，安装门罗币挖矿机，利用服务器资源挖矿。

挖矿名称	MyKings
涉及平台	Windows平台
相关恶意代码家族	DDos、Proxy、RAT、Mirai
攻击入口	通过扫描开放端口 ，利用漏洞和弱口令进行入侵
相关漏洞及编号	永恒之蓝
描述简介	MyKings 是一个由多个子僵尸网络构成的多重僵尸网络，2017 年 4 月底以来，该僵尸网络一直积极地扫描互联网上 1433 及其他多个端口，并在渗透进入受害者主机后传播包括 DDoS、Proxy、RAT、Miner 在内的多种不同用途的恶意代码。

自查方法

1. 检查是否存在以下文件：
   c:\windows\system\my1.bat
   c:\windows\tasks\my1.job
   c:\windows\system\upslist.txt
   c:\program files\kugou2010\ms.exe
   c:\windows\system\cab.exe
   c:\windows\system\cabs.exe
2. 检查是否有名为xWinWpdSrv的服务

如何清除

可以执行如下步骤进行清除：

1. 删除自查方法1中所列的文件
2. 停止并删除xWinWpdSrv服务

如何防护

从僵尸网络当前的攻击重点来看，防范其通过1433端口入侵计算机是非常有必要的。此外，Bot程序还有多种攻击方式尚未使用，这些攻击方式可能在未来的某一天被开启，因此也需要防范可能发生的攻击。对此，我们总结以下几个防御策略：

1. 对于未遭到入侵的服务器，注意msSQL，RDP，Telnet等服务的弱口令问题。如果这些服务设置了弱口令，需要尽快修改；
2. 对于无需使用的服务不要随意开放，对于必须使用的服务，注意相关服务的弱口令问题；