360安全卫士近期威胁形势分析

本文是根据360互联网安全中心在2018年6月18日至2018年6月29日阻拦到攻击的攻击数量、攻击类型和攻击手法所撰写的“近期威胁形势分析”。本文中提供的IOC信息使用于帮助友商及相关人士对对应的攻击进行预警和防御。（注：本文中的IOC仅涉及6.18-6.29出现的新木马家族相关的域名、ip信息以及已知木马家族在这两周活动时用的新域名、ip信息，历史IOC信息请查阅本系列前几篇报告。）

一、 挖矿木马攻击

针对Windows服务器的小规模入侵挖矿事件频发。过去针对Windows服务器的挖矿木马主要遵循“入侵——〉建立僵尸网络——〉挖矿获利”的攻击流程，而近期出现了较多规模较小的“一次性”服务器入侵挖矿攻击。这类攻击一般只在特定时间发生，且持续时间不长，黑客只向服务器投递挖矿木马，而不利使用服务器对其余机器进行扫描入侵来建立僵尸网络。这类攻击因为不具有持久性较难被观察到。在之前的威胁预警中提到少量提供位置服务的Windows服务器遭到来自ip 121.41.33.131的攻击就属于这一类型的攻击。

图1 121.41.33.131发起攻击的时间及影响计算机数量柱状图显示该攻击只在特定时间进行