最近，金山毒霸的監測系統偵測到了一系列針對《魔域》網絡游戲私服的木馬攻擊。這些惡意軟件主要通過游戲的啟動程序傳播，并植入了大灰狼遠程控制木馬和秘密挖掘門羅幣的病毒。大灰狼遠程控制木馬使黑客能夠完全訪問并控制受害者的電腦系統，進行如賬戶操作、注冊表修改、文件管理等活動，并可能竊取個人信息。同時，門羅幣挖礦木馬利用受感染的電腦進行加密貨幣挖掘，嚴重時會影響電腦性能并縮短硬件壽命。
這些木馬與安全領域已知的BearMiner和LaofuMiner病毒族群有關，這一家族自2018年以來就以挖礦活動為主，持續活躍于黑客界。它們通常偽裝成系統文件，使用加密技術隱藏關鍵數據，以逃避安全軟件的偵測。
詳細分析顯示，《魔域》私服登錄器是感染源頭。登錄器中包含一個名為tqlits.dat的后門文件，此文件會在用戶臨時目錄中釋放名為net1024.exe的木馬加載程序。net1024.exe隨后下載并啟動大灰狼遠程控制木馬，并進一步下載執行門羅幣挖礦程序。為了避免被安全程序發現，這些木馬使用異或和RC4加密算法對其關鍵配置數據進行加密。
大灰狼遠程控制木馬的主要功能包括：
- 解密配置數據，并在C:\ProgramFiles\Microsoft Obliqo目錄下創建名為Dqaiqov.exe的副本程序。
- 將此副本程序注冊為Windows服務，確保每次啟動時自動運行，服務名定為T210729.Wsfnvtkiposqrp.Dqqyge。
- 接著下載并執行用于挖礦的木馬程序。
門羅幣挖礦木馬通過xm.exe下載器獲取，該程序基于開源xmrig代碼修改，通過加解密命令行參數來逃避檢測。xm.exe創建并啟動挖礦服務，相關挖礦文件如Systen32.exe和Systen64.exe則藏匿于AppVNice.dll文件中。
鑒于網絡游戲私服的普及和相關風險，建議廣大游戲玩家和網民安裝可靠的安全軟件，并保持實時監控，以防范此類攻擊對個人信息和設備安全造成威脅。隨著技術發展，我們必須提高警惕，保護自己免受網絡罪犯的侵害。
下圖為金山毒霸查殺該病毒截圖：
