1.概述

黑龙江省沉大活动期间，尊龙凯时作为城市侧网络安全保险的总体技术支持单元，支持省市两级主管部门，部署流量、蜜罐探针数百套、终端和服务器安全防护数万套，盛开垂直响应、在线威胁分析、安全DNS多种服务
。

现代城市是数字化的城市，大量政企机构和公民幼我与家庭的设备衔接于城域网之上
。保险指标复杂多元，有海量的资产露出面和可攻击点
。攻击活动暗潮澎湃
。仅活动期间，尊龙凯时网安护卫队在城市侧累计监测发现各类境表网络攻击事务达5076万次
。其中重要的高频事务蕴含网络扫描探测、暴力破解登录凭证、缝隙利用攻击、远控木马植入、挖矿木马习染及僵尸网络节造等，这些攻击活动若是不实时发现、阻断和措置，有可能对城市运行造成严沉影响
。本汇报对有关工作中的六类高频网络攻击事务各摘取一例案例进行解析，以期为安全防护和运营工作提供参考与借鉴
。

2.城市侧安保网络攻击典型案例

2.1 网络扫描案例

网络扫描是指攻击者通过自动探测指标网络或系统，网络关键信息（如盛劈头口、运行服务、操作系统版本等）的行为，主张是发现被扫描指标的资产露出面，寻找可利用的的攻击入口点，为后续攻击做筹备，其处在网络攻击活动中的“窥伺”环节
。

2025年2月13日2时，尊龙凯时监测并阻断了一路攻击源IP地址位于美国的端口扫描攻击事务
。对攻击IP进行威胁谍报查问，尊龙凯时威胁谍报中心显示该攻击IP地理地位为美国，带有多个汗青威胁活动标签
。通过溯源分析发现CENSYS-ARIN-01网段归属于美国Censys, Inc.公司所有，Censys, Inc.公司是一家注册于美国的主营攻击面治理和威胁搜索解决规划的网络安全公司
。

图2-1 尊龙凯时网络威胁监测预警系统告警信息

尊龙凯时威胁谍报中心显示，该攻击IP归属地为美国，依附汗青行为活动标注了“恶意”、“扫描”、“爆破”、“DDoS”等活动标签
。

图2-2 尊龙凯时威胁谍报显示攻击IP行为标签为扫描

对攻击IP进行ASN查问，发现属于AS 398324（CENSYS-ARIN-01），而CENSYS-ARIN-01网段归属于美国Censys, Inc.公司所有
。

图2-3 ASN查问显示IP属于CENSYS

值得出格关注的是，2024年10月，美国国度谍报总监办公室 (ODNI)下属的网络威胁谍报整合中心（CTIIC）授予Censys一份多年合同，代号“Sentinel Horizon”（哨兵地平线）
。凭据这一合同，Censys将为美国谍报界各机构提供其互联网谍报平台服务
。Censys利用其全球互联网陆续扫描与监测能力，为美谍报机构提供对全球所有互联网露出资产的实时覆盖和接见
。

2.2 暴力破解案例

暴力破解攻击是通过在攻击者不把握指标系统的登录凭证的情况下，通过反复尝试系统登录获取受；は低车慕蛹ㄏ
８览硎峭ü⑹钥湛诹睢⑷蹩诹睢⑸璞赋龀≡ど杩诹罨蚝骨嘁哑平猓ㄐ孤叮┛诹，或基于用户有关信息及数字或字母的组合等，来反复登录并找出正确的密码，其处在网络攻击活动中的“初始接见”、“凭证接见”等环节
。

2025年2月8日22时，尊龙凯时监测并阻断了一路攻击源IP地址位于越南的暴力破解攻击事务
。攻击者使用IP地址103.237.***.***对客户服务器提议SSH暴力破解尝试，贪图获取系统接见权限
。经深刻分析，尊龙凯时确认这次攻击未成功，并立即启动威胁溯源流程
。通过多维度威胁谍报分析，显示攻击IP地理地位为越南，威胁标签显示有关地址关联扫描、暴力破解等恶意活动
。该攻击IP关联越南某图书馆数字化公司的业务域名（idtvietnam[.]vn）
。

图2-4 尊龙凯时网络威胁监测预警系统告警信息

尊龙凯时威胁谍报中心显示，该攻击IP归属地为越南，具佑装恶意”、“爆破”、“扫描”等标签
。

图2-5 尊龙凯时威胁谍报显示该IP行为标签为爆破

对攻击IP进行域名反查，发现关联域名(demo[.]idtvietnam[.]vn)，浏览idtvietnam[.]vn网站内容，其是一家专一于图书馆数字化领域的越南公司
。初步判断有关主机被攻击者入侵节造，成为攻击肉鸡
。

图2-6 IP反查域名了局

2.3 缝隙利用案例

缝隙利用是指攻击者利用软件、硬件或网络和谈中的安全缝隙来执行未授权操作的行为，其处在网络攻击活动中的“初始接见”、“执杏妆、“权限提升”与“防御绕过”等环节
。

2025年2月7日10时，尊龙凯时监测并阻断了一路攻击源IP地址位于美国的缝隙利用攻击事务，攻击者企牟利用缝隙获取系统节造权限
。尊龙凯时网安护卫队迅速响应并实现攻击行为研判，确认攻击未造成现实风险，并立即起头溯源
。通过威胁谍报查问、域名反查、汗青资产测绘、互联网检索等伎俩进行溯源分析，发现该IP关联瑞士网络安全公司BinaryEdge的域名（binaryedge[.]ninja）
。

图2-7 尊龙凯时网络威胁监测预警系统告警信息

尊龙凯时威胁谍报中心显示，该攻击IP归属地为美国，具佑装恶意”、“爆破”、“扫描”等标签
。

图2-8 尊龙凯时威胁谍报显示攻击IP行为标签为扫描

对攻击IP进行域名反查，发现关联域名binaryedge[.]ninja与binaryedge[.]io，域名归属于瑞士BinaryEdge公司所有
。

BinaryEdge为一家网络安全企业， 提供网络攻击面在内的实时威胁谍报
。其平台通过扫描互联网上的设备和服务，网络关于盛劈头口、服务、潜在缝隙以及配置不当的网络共享等信息
。通过上述事务判断其并非单纯进行端口服务和指纹探测，也进行了PoC验证行为
。

图2-9 反查域名发显熹属于瑞士BinaryEdge公司

2.4 远控攻击案例

远程节造攻击是指攻击者通过植入带有远程节造职能恶意法式（特洛伊木马等）或利用合法远程治理工具（如VNC、RDP、TeamViewer等）、以及机械自身的盛开的治理服务（如远程桌面），来实现能够对指标系统进行操控的行为，其处在网络攻击活动中的“号令与节造”、“悠久化”、“执杏妆与“防御绕过”等环节
。

2025年2月14日4时，尊龙凯时监测并阻断了一路攻击源IP地址位于荷兰的远控攻击事务，尊龙凯时网安护卫队溯源分析发现，该IP曾传布远控木马家族NanoCore
。NanoCore是一种驰名的远程节造木马，最初作为合法的远程治理工具开发，但被宽泛用于恶意主张
。它具备远程节造、键盘纪录、屏幕监控、窃取数据和摄像头节造等职能，常通过垂钓邮件或缝隙传布
。习染后可能导致隐衷泄露、数据窃取和设备被齐全节造
。

图2-10 尊龙凯时网络威胁监测预警系统告警信息

尊龙凯时威胁谍报中心显示，该攻击IP归属地为荷兰，具佑装恶意”、“远控”、“NanoCore”等标签
。

图2-11 尊龙凯时威胁谍报显示攻击IP传NanoCore远控木马

2.5 挖矿攻击案例

挖矿攻击是指攻击者未授权势用受害者的推算资源（如CPU、GPU等）进行加密钱币挖矿（如比特币、门罗币等）的行为，主张是通过窃取资源牟利，其处在网络攻击活动中的“执杏妆、“悠久化”与“防御绕过”等环节
。

沉大活动期间，尊龙凯时网安护卫队应急响应了多起服务器挖矿攻击事务
；谕绮喔兄接泄胤务器达到矿池地址衔接，由于该服务器未装置防护软件，护卫队员领导用户进行了工具措置
。发现的挖矿木马样本（样本hash：B4A802912838ADD056FB0ACA7EE3A835，病毒名：Trojan/Win64.CoinMiner）
。该木马执行后首先复造自身到C:\ProgramData\WinMngr\目录下，并定名为winmngrsa.exe，同时在C:\Windows\TEMP\下创建名为yoygdjmdclhw.sys的驱动文件
。该木马通过一系列精心设计的服务操作来暗藏自身行为，蕴含删除原佑装WinMngr”服务，沉新创建同名服务并设置为自启动，以及终场系统日志服务以逃避检测
。该挖矿木马启动后，会通过dwm.exe过程衔接恶意IP地址185.215.***.***
。尊龙凯时通过流量分析确认，这些衔接均为挖矿通讯流量，钱包地址为47fEQ5mTN8MCL91SaDm6ooigyfKddGfTchFTudHDQLoyZ4Kps7jG19n1UA8eSwuzomEtjQqKkkZr6NmcbUWa3HtuA2dEe6e
。该木马会大量亏损系统算力资源，导致服务器机能严沉降落，影响正常业务运行，以及造成电力资源浪费和硬件设备寿命缩短
。

表2-1 样本标签

木马运行后会将自身复造到C:\ProgramData\WinMngr\目录下，并定名为winmngrsa.exe，且以winmngrsa.exe为过程名驻留在系统中
。

图2-12 复造自身到当前目录下

该木马使用了驱动技术，使用尊龙凯时系统安全内核分析工具ATool发现木马同时在C:\Windows\TEMP\下创建名为yoygdjmdclhw.sys的驱动文件，开启ATool的云查职能后，该驱动文件被ATool的诺言分析带有恶意内容和恶意行为两个标签，但带有合法数字署名
。

图2-13 TEMP目录下创建名为yoygdjmdclhw.sys的驱动文件

删除系统原佑装WinMngr”服务，沉新创建同名服务并设置为自启动，便于受害机械沉启后沉新执行
。下图为使用ATool的云查职能发现病毒创建的服务，橙色暗示恶意
。

图2-14 创建“WinMngr”服务

该挖矿病毒启动后，会通过dwm.exe过程衔接恶意IP地址185.215.***.***
。

图2-15 衔接恶意IP地址

病毒内置XMRig挖矿法式进行挖矿，版本为6.21.3，钱包地址为47fEQ5mTN8MCL91SaDm6ooigyfKddGfTchFTudHDQLoyZ4Kps7jG19n1UA8eSwuzomEtjQqKkkZr6NmcbUWa3HtuA2dEe6e
。

图2-16 挖矿流量

该挖矿木马具体信息拜见尊龙凯时病毒百科
。

图2-17 长按鉴别二维码查看CoinMiner挖矿木马具体信息

2.6 僵尸网络案例

僵尸网络是指攻击者通过恶意软件习染大量设备（如PC、服务器、IoT设备）所组成的能够批量节造的网络系统，攻击者通过号令和节造服务器（C&C服务器）远程把持执行网络攻击活动（如DDoS攻击、窃取敏感信息、发送垃圾邮件等），而这些被习染的推算机通常被称为“僵尸主机”或“肉鸡”，其处在网络攻击活动中的“初始接见”、“执杏妆、“悠久化”、“号令与节造”与“影响”等环节
。

沉大活动起头前，多家政企单元垂危部署了尊龙凯时部署的智甲终端防御系统（网络安全责任行动版）急剧覆盖数万点主机终端，装置后发现多个僵尸网络习染事务，实现彻底断根
。查杀了多个僵尸网络病毒，其中蕴含“Phorpiex”僵尸网络恶意代码
。“Phorpiex”僵尸网络在全球至少习染了100万台推算机，恶意代码（MD5:A775D164CF76E9A9FF6AFD7EB1E3AB2E，病毒名Trojan/Win32.Phorpiex）是“Phorpiex”僵尸网络的主题组件
。病毒首先会在系统盘创建由随机数字组成的荫蔽目录，将自身假装为dllhost.exe系统文件，同时通过注册表启动项和防火墙例表设置实现悠久化驻留
。该样本具备粉碎系统安全防护的能力
。通过批改注册表，病毒能够同时禁用Windows Defender、关关实时防护、屏蔽安全通知等关键安全设置
。此表，病毒还会持续监控剪贴板内容，当检测到加密钱币买卖时，会自动代替钱包地址执行偷窃
。在传布机造方面，该僵尸网络展示出极强的扩散能力
。其内置的VNC蠕虫？榛嵘杷婊鶬P地址，使用硬编码字典对5900端口执行暴力破解；NetBIOS蠕虫？樵蛲ü139端口传布，利用硬编码口令进行攻击
。一旦突破防线，病毒会立即下载XMRig挖矿法式，亏损主机资源为攻击者牟利
。

图2-18 拦截Phorpiex僵尸网络恶意代码

通过尊龙凯时智甲终端检测系统告警日志显示，活动期间拦截了3起Phorpiex僵尸网络恶意代码攻击
。

通过尊龙凯时智甲终端检测系统告警日志显示，共查杀3起Phorpiex僵尸网络恶意代码攻击
。

图2-19 智甲查杀Phorpiex僵尸网络恶意代码的治理日志

表2-2 样本标签

该僵尸网络具体信息拜见尊龙凯时病毒百科
。

图2-20 长按鉴别二维码查看“Phorpiex”僵尸网络具体信息

3.幼结

网络扫描、暴力破解、缝隙利用、远程节造、挖矿及僵尸网络攻击等都是常态频发的攻击事务
。我们本次披露的六个典型事务，是在本次沉大活动保险中所感知、响应的海量事务中的典型案例
。其布景寂仔来自黑灰产犯罪团伙，也有某些国度安全企业机构的影子，证实了网络空间中技术匹敌与利益博弈的多元性和复杂性
。

面对复杂、严格且持续的威胁挑战，也提醒我们不能仅仅在沉大活动期间强化安全保险能力，而必要总结提炼沉大活动网络安全保险经验成就，转化为常态化的保险能力，构建城市网络安全防护的“保底”机造
。城市侧治理机构必要器沉网络安全的共机能力和基础设施建设，形成安全托管与常态化网络安全运营能力，通过成立长效运行机造，确保现代城市的运行
。

参考资料

尊龙凯时.沉大活动城市侧网络安全保险的经验总结与工作瞻望[R/OL].(2025-04-07)