在騰訊宣布即將代理絕地求生大逃殺中國(guó)區(qū)之后，絕地求生的游戲環(huán)境就變得日益糟糕了，開(kāi)掛者一天比一天多，聽(tīng)說(shuō)離騰訊代理的日子越近，買(mǎi)掛的價(jià)格就越來(lái)越便宜，但是今日有報(bào)道發(fā)現(xiàn)，絕地求生外掛輔助軟件中含挖礦木馬程序，下面會(huì)給出詳細(xì)報(bào)道，吃雞的玩家注意查看。

“絕地求生”輔助程序帶挖礦木馬

數(shù)字貨幣“挖礦”， 通俗講就是猜數(shù)字求解，猜對(duì)即可獲得數(shù)字貨幣獎(jiǎng)勵(lì)。目前已知的數(shù)字貨幣約有100多種，包括比特幣、萊卡幣、門(mén)羅幣等常見(jiàn)類(lèi)型,并且近年來(lái)其價(jià)格呈快速增長(zhǎng)趨勢(shì)。以比特幣為例，目前1比特幣價(jià)格為14841美元，折合人民幣97140元；而在2017年年初1比特幣價(jià)格僅為1000美元，在短短的一年內(nèi)其價(jià)格上漲十幾倍。巨大的利潤(rùn)吸引越來(lái)越多的挖礦者投入更多的計(jì)算資源挖礦，并將算盤(pán)打到廣大網(wǎng)友頭上。騰訊電腦管家近日捕獲的HSR幣挖礦木馬，隱藏在“絕地求生”輔助程序中，而由于“絕地求生”對(duì)電腦性能要求較高，不法分子瞄準(zhǔn)”絕地求生”玩家電腦，相當(dāng)于找到了“絕佳”的挖礦機(jī)器。經(jīng)分析，已確定該挖礦木馬名為tlMiner，由一游戲輔助團(tuán)隊(duì)投放，目前已影響了數(shù)十萬(wàn)臺(tái)用戶機(jī)器。

絕地求生小輔助啟動(dòng)流程：

（HSR幣，網(wǎng)上戲稱為“紅燒肉”幣，是一種新的去中心化、開(kāi)源、跨系統(tǒng)的數(shù)字加密貨幣，具有雙重側(cè)鏈，同時(shí)兼容區(qū)塊鏈和DAG兩種分布式系統(tǒng)，HSR于今年6月完成ICO，8月20日上線中國(guó)比特幣交易平臺(tái)，目前交易價(jià)格接近200人民幣，且仍在上漲；與比特幣類(lèi)似，HSR幣數(shù)量也是固定的，總量大約為8400萬(wàn)）

0x2詳細(xì)分析：

這款輔助采用易語(yǔ)言編寫(xiě)，包含輔助主程序，依賴庫(kù)以及白利用文件tlwgft.dat。

主程序加了4層殼：兩層upx壓縮，一層簡(jiǎn)單的加密殼，以及部分VM代碼。其中解密算法也被混淆，以此對(duì)抗反編譯。

被解密的代碼每4字節(jié)為一組，與0Xc2e22c1c做減法即可解密。

輔助啟動(dòng)后會(huì)拷貝系統(tǒng)的白文件，覆蓋到當(dāng)前目錄tlwgft.dat，默認(rèn)拷貝mshat.exe。如果拷貝失敗，則從內(nèi)置列表依次拷貝，可被利用的系統(tǒng)文件列表如下：

拷貝完畢則啟動(dòng)tlwgft.dat進(jìn)程，主程序內(nèi)置一個(gè)PE文件mgr.exe，利用內(nèi)存加載方式替換tlwgfz的內(nèi)存為mgr，替換時(shí)會(huì)刻意抹掉PE頭，以對(duì)抗內(nèi)存dump。tlwgft此時(shí)屬于輔助主界面程序，負(fù)責(zé)輔助的更新，模塊投放，以及挖礦木馬投放。

主程序啟動(dòng)后，聯(lián)網(wǎng)訪問(wèn)一份進(jìn)程列表。

這是一份木馬的進(jìn)程檢查黑名單，大部分是安全類(lèi)軟件，如果本機(jī)有以下進(jìn)程在運(yùn)行，則提示用戶關(guān)閉或卸載這些軟件。

輔助主界面：

輔助開(kāi)啟后，從服務(wù)器拉取配置文件，目前已知該輔助有3個(gè)服務(wù)器：

下載后解壓文件，是輔助的一些功能配置文件。

拉取完輔助配置文件，會(huì)從服務(wù)器拉取挖礦程序pubghsr.exe。

下載成功后Pubghsr被釋放在c:\windows\system\wininit.exe，并設(shè)置為開(kāi)機(jī)啟動(dòng)。

程序基于ccMiner 2.0開(kāi)源挖礦程序，ccMiner是基于NVIDIA GPU的挖礦程序，兼容windows，Linux，目前支持包括bitcoin 、HSR、Sibcoin 在內(nèi)的58種虛擬幣的挖掘。

目前該挖礦木馬專門(mén)挖取HSR幣，以目前的交易價(jià)格，1算力每天可獲得人民幣2.014元。

由于個(gè)體挖礦產(chǎn)出能力有限，很可能顆粒無(wú)收，該木馬會(huì)借助礦池挖礦，已連接礦池地址：

hcash.uupool.cn： 雙優(yōu)礦池，用戶名為tlwg.TCCS3

hcash-shanghai.globalpool.cc： 新星上海礦池，tlwg.PUBG

礦池作為一個(gè)平臺(tái)，所有有計(jì)算能力的機(jī)器都可以參與挖礦，若獲得獎(jiǎng)勵(lì)，則按其機(jī)器的算力高低分配。目前HSR幣的產(chǎn)量大概每天624.93個(gè)。

HSR幣從12.15號(hào)價(jià)格開(kāi)始上漲，目前交易價(jià)格為人民幣174元，且還在上漲。

0x3溯源

該輔助工具雖然存在已久，但此次發(fā)現(xiàn)的挖礦木馬是在12月8號(hào)輔助新版發(fā)布后才開(kāi)始植入輔助工具。從傳播趨勢(shì)看，該木馬從12月8號(hào)開(kāi)始影響用戶機(jī)器，并在12月20號(hào)達(dá)到最高峰值，僅20號(hào)當(dāng)天就有近20萬(wàn)臺(tái)機(jī)器受到該挖礦木馬影響。

該輔助程序在12月22日晚宣布停用。

但巨大的利益驅(qū)使不法分子在12月25號(hào)重新開(kāi)放輔助及挖礦功能。

根據(jù)留下的社交群號(hào)碼，找到多個(gè)超級(jí)群，且這些超級(jí)群也都是滿員狀態(tài)。

從創(chuàng)建日期看，有些是挖礦木馬投放當(dāng)天創(chuàng)建的。

根據(jù)社交群文件找到輔助的下載地址：

打開(kāi)后得到網(wǎng)盤(pán)下載地址，在該資源目錄下，發(fā)現(xiàn)除了絕地求生輔助，還有其它加速器破解版。

經(jīng)驗(yàn)證，該加速器同樣被植入挖礦木馬：

已知這兩款程序是由某網(wǎng)吧聯(lián)盟團(tuán)隊(duì)開(kāi)發(fā)，在BBS上也可以發(fā)現(xiàn)絕地求生小輔助，而且下載量也過(guò)萬(wàn)。

進(jìn)入其工會(huì)頻道，頻道內(nèi)24小時(shí)機(jī)器人喊話推廣這款輔助，公告上也提示用戶卸載掉殺毒軟件。

此外，下載站也在瘋狂傳播該輔助程序。經(jīng)分析，網(wǎng)上搜索“吃雞”、“絕地求生”等關(guān)鍵詞，在搜索頁(yè)面置頂?shù)南螺d站輔助程序同樣攜帶挖礦木馬。從圖可知，僅通過(guò)該下載器下載輔助的人次就已高達(dá)10萬(wàn)。

0x4安全建議

1、開(kāi)啟系統(tǒng)自動(dòng)更新，及時(shí)打補(bǔ)丁，防止惡意木馬利用；

2、服務(wù)器避免使用弱口令，不給不法分子可乘之機(jī)；

3、機(jī)器卡慢時(shí)應(yīng)立即查看CPU使用情況，若發(fā)現(xiàn)可疑進(jìn)程可及時(shí)關(guān)閉；

4、不瀏覽色情、輔助等被標(biāo)記為不可信的網(wǎng)站；

5、不使用輔助及來(lái)路不明的軟件，使用軟件前先用安全軟件進(jìn)行掃描，使用騰訊電腦管家攔截查殺該類(lèi)挖礦木馬。