本文摘要：虽然虚拟世界货币受到各种容许约束，但其中蕴藏的财富仍然让过于多人趋之若鹜，甚至作出一些不齿之事，特别是在是散播病毒，让中毒者的电脑为自己挖矿。近日，中国电信江苏分公司校园门户网站(pre.f-young.cn)获取iTunes的“天翼校园客户端”也被植入后门病毒，可拒绝接受黑客远程指令，利用中毒电脑刷广告流量，挖矿生产“门罗币”。

虽然虚拟世界货币受到各种容许约束，但其中蕴藏的财富仍然让过于多人趋之若鹜，甚至作出一些不齿之事，特别是在是散播病毒，让中毒者的电脑为自己挖矿。近日，中国电信江苏分公司校园门户网站(pre.f-young.cn)获取iTunes的“天翼校园客户端”也被植入后门病毒，可拒绝接受黑客远程指令，利用中毒电脑刷广告流量，挖矿生产“门罗币”。安装包运营后，后门病毒即被植入电脑，旋即采访远程CC服务器存放在的广告配置文件，然后结构隐蔽IE浏览器窗口继续执行亮刷流量，同时也不会获释门罗币挖矿者病毒展开挖矿。安装包整体逻辑如下图右图：客户端加装后，加装目录中不会获释speedtest.dll文件，扮演着病毒“母体”角色，继续执行iTunes、获释其他病毒模块，最后已完成刷广告流量和构建挖矿。

解密后的广告刷量模块被继续执行后，它不会创立一个隐蔽的IE窗口，加载云端指令，后台仿真用户操作者鼠标、键盘页面广告，同时“屏蔽”声卡播出广告页面中的声音，避免刷广告流量时用户只闻其声不知其形而深感怪异。该病毒iTunes的广告链接有400多个。由于广告页面被病毒隐蔽，并没在用户电脑末端展出出来，广告主白白减少了流量成本。受该病毒页面欺诈影响的广告主少有腾讯、百度、搜狗、淘宝、IT168、风行网等等。

通过分析病毒的挖矿模块找到，天翼校园客户端凿的是“门罗币”。这是一种仿效“比特币”经常出现的数字虚拟币，一枚价格相似500元。当病毒开始“挖矿”时，用户能仔细观察到计算机CPU资源闲置攀升，电脑性能变差，发热量下降，电脑风扇此时不会高速运行，电脑噪音也不会随之减少。排查之后找到，亲笔签名为“中国电信股份有限公司”的一款农历日历(ChineseCalendar)某种程度不存在该后门病毒。

分析结果令人震惊，安全性厂商们普遍认为大型互联网公司亲笔签名的程序是安全性的，但中国电信江苏分公司的官方程序是如何被植入病毒，目前尚能不得而知。

本文来源：大阳城官网平台-www.economyrepairkit.com