【好居网】12月1日，一款名为”云计算”的软件，正通过各种流氓渠道大肆推广，该软件除了把用户电脑当”肉鸡”进行挖矿外，没有任何其他功能，是一种纯粹的挖矿工具(生产”零币”)。而被植入”云计算”软件的电脑，则沦为挖矿的”肉鸡”，大量系统资源被侵占，出现速度变慢、发热等异常现象。

一、概述

“云计算”软件由2345公司旗下的”2345王牌技术员联盟”进行推广，众多流氓软件通过该”联盟”领取推广任务，利用各种手段在用户电脑上偷偷安装该软件，然后根据安装量领取相应的报酬。

根据”火绒威胁情报系统”的监控，参与推广”云计算”挖矿工具的流氓软件有：”云爱PE工具箱”、”凌哥绝地求生助手V1.1.0″、”美捷便签”、”swf播放精灵”、”美捷闹钟”等。这是一种常见的联盟式流氓推广渠道–任何流氓软件都可以参与进来，最终按照安装量从”联盟”领取报酬。

二、样本分析

近期， 一些流氓软件会静默推广”挖矿”程序挖取零币(ZCoin)，该程序安装包来自2345官网(jifen.2345.com)下载的 “云计算”安装包，且安装包带有2345官方签名。安装包文件信息，如下图所示：

安装包文件信息

安装包释放的LoveCloud.exe为数字货币矿工程序，用于挖取零币。该程序中用户数据均为加密存放，在CRTInit中完成解密。代码如下图所示：

如上图，加密数据偏移+4的位置存放有32位哈希值，用来进行数据校验。数据验证有效后，调用decrypt_data_by_xor进行抑或解密(key数据为0x78817433563212F9，解密后数据地址存放在miner_data_base，下文中不再赘述)。完成解密后数据，如下图所示：

解密后数据

解密后数据中，存放有矿工用户名、密码及矿池地址等数据。矿工相关数据，如下图所示：

矿工信息

使用矿工用户名和密码可以登录矿池领取任务，执行挖矿逻辑。如下图所示：

登录矿池代码

当检测到当前计算机CPU个数大于2时，即会开启挖矿逻辑。如下图所示：

代码逻辑

三、附录

文中涉及样本SHA256：

购买智能家居单品、家装建材、家具、家电就来好居商城，价格实惠、服务有保障!

好居商城：

好居商城是应广大业主要求，由《家装总动员》节目组与好居网共同承办的网上交易平台，网罗《家装总动员》中设计师家装方案中涉及的各种家装单品，包括建材、卫浴、家具、家纺、家电、五金、智能产品等。厂家直销，每月会定期推出秒杀促销等活动，具体详情，可关注好居商城，了解更详细的产品及活动内容。

好居商城官网(http://www.haolivshop.com/)

信息来源于FreeBuf