WindowsDefender阻挡加密货币挖矿攻击

微软近日发布了一篇博客文章，详细介绍了他们的WindowsDefender在阻止一次“大规模”Dofoil加密货币挖掘活动中起到的作用。WindowsDefender利用了基于行为的信号和机器学习模型来检测和拦截近80,000个高级木马实例。据微软称，这些木马是Dofoil的一个变体，并且携带有一个挖矿程序的有效载荷。

在第一次检测到恶意活动之后的12个小时内，发生了40万次攻击事件，其中73%发生在俄罗斯，18%发生在土耳其，4%发生在乌克兰。由于当前对加密货币的需求，Dofoil恶意软件家族被认为非常危险，因为攻击者可以在其代码中加入挖矿组件。WindowsDefender检测到的加密货币挖掘活动是通过代码注入技术在explorer.exe上进行的，它会分发一个新的合法进程实例，并将其代码替换为恶意软件。

受感染的进程会生成另一个执行挖矿程序的实例。通常情况下，用户很难察觉到这一情况，因为这个恶意进程是一个合法的Windows二进制文件，只是运行的位置不对。

为了保持隐蔽，Dofoil会修改注册表。被挖空的explorer.exe进程会在漫游AppData文件夹中创建原始恶意软件的副本，并将其重命名为ditereah.exe。然后，它会创建一个新的注册表项或修改现有的注册表项，将其指向新创建的恶意软件副本。

尽管微软声称运行Windows7、8.1和10的客户端受到WindowsDefenderAV或MicrosoftSecurityEssentials的保护，但他们建议用户升级到最新操作系统Windows10，并且推荐用户使用Windows10S来防止这些威胁的攻击。