近期，火绒威胁情报中心监测到 XMRig 挖矿病毒正在通过破解软件进行传播，该破解软件下载链接由 CSDN 用户在其发布的文章中提供。破解软件中的脚本可以进行创建计划任务、检查 CPU 数量与修改挖矿线程数等操作，最终执行 XMRig 挖矿病毒进行挖矿。目前，火绒安全产品可对上述病毒进行拦截查杀。同时，我们希望广大用户能够提高警惕，不要轻易下载和运行来源不明的文件，不要轻信部分软件分享内容中提供的关闭杀毒软件等建议，并通过官方正规渠道下载使用正版软件，以防企业或个人信息泄露以及避免财产损失。
查杀图
该样本执行流程图如下所示：
流程图
火绒工程师对样本的分析过程中，发现 CSDN 用户在其发布的文章中不仅提供了该破解软件的下载链接，还添加了“部分杀软会因该版本软件未购买签名证书而阻止运行，可通过将软件目录加入排除项或者信任区来解决。”的“友情提醒”，诱导用户将此破解版软件添加信任。
破解软件下载文章
此外，该用户还发布了其他类似的破解软件分享文章，其中的软件都含有挖矿病毒。
其他文章
https://blog.csdn.net/SM2268XT2?type=blog # 名称为已注销
https://blog.csdn.net/Seika3092?type=blog
https://blog.csdn.net/baobao__36?type=blog
https://blog.csdn.net/smartyguy80?type=blog
https://blog.csdn.net/2404_87139007?type=blog
https://blog.csdn.net/2404_87213641?type=blog
https://blog.csdn.net/YS9085N?type=blog
https://blog.csdn.net/2403_87087630?type=blog
https://blog.csdn.net/RTS5766DL?type=blog
https://blog.csdn.net/2404_87210054?type=blog
https://blog.csdn.net/2400_87157272?type=blog
https://blog.csdn.net/SM2263XT?type=blog
https://blog.csdn.net/yhnmj678?type=blog
https://blog.csdn.net/2201_75554009?type=blog
https://blog.csdn.net/2401_85381299?type=blog
https://blog.csdn.net/2304_76306332?type=blog
https://blog.csdn.net/randkmr?type=blog
其中，最新发布的文章日期是 2024 年 12 月 27 日。
最新发布文章日期
最终经过实际下载查看后，发现破解软件中携带的挖矿病毒均指向同一矿池 104.168.101.23。
样本分析
脚本文件头
bat 文件乱码
脚本功能：
使用管理员模式重新打开该脚本。 通过修改注册表键值以实现禁用用户账户控制（UAC）的目的。其具体操作是将 ConsentPromptBehaviorAdmin、EnableLUA 和 PromptOnSecureDesktop 设置为 0。 使用 attrib +s +h 命令将 EverEdit.exe 的文件属性设置为系统和隐藏属性。 执行 add.ps1 脚本，执行的命令为 Add-MpPreference -ExclusionPath ($pwd).Path。其功能是将当前目录添加到 Windows Defender 的白名单中。 通过遍历目录并统计文件数量的方式验证文件完整性：若文件总数为 5，则正常执行 EverEdit.exe；若文件数量异常，则提示用户检查杀毒软件隔离区并恢复文件，或关闭杀毒软件后重新解压运行程序。 利用 wmic 获取 CPU 核心数，并将 CrashReporting.bat 中挖矿程序的线程数修改为 CPU 核心数 / 2，以降低其 CPU 占用率。 创建计划任务，在用户登录时延迟 5 分钟运行批处理文件 CrashReporting.bat 。 执行 CrashReporting.bat 文件。
start_everEdit.bat
使用户添加信任区或关闭杀软
计划任务
该脚本在执行 CrashReporting.bat 文件的过程中，会运行 XMRig 挖矿程序 EverEdit_license.exe 。该挖矿程序指向的矿池 IP 为 104.168.101.23， -B 表示后台执行， -t 表示线程数。其中，线程数 -t 会按照 CPU 核心数的情况作出相应修改，如果 CPU 核心数为 2，线程数就会被设置为 1。
CrashReporting.bat
在实际运行该病毒后发现无法连接到矿池。通过进行多地 ping 测试，发现黑龙江和北京地区连接矿池时出现超时现象。
ping 图
下图为去掉 -B 参数后显示的内容。从其中 new job 一行的日志中可以看到，病毒运行所采用的算法是 algo rx/0 ，该算法在 xmrig 文档中记录为门罗币，由此可以推断该私人矿池正在挖取门罗币。
挖矿病毒运行图
门罗币判断
CPU 占用率提高
有的小伙伴表示没有学过计算机知识，看不太懂这篇文章，那么你可以参考如下说明。
