日前，360 网络安全研究院监测到全球首个安卓平台挖矿蠕虫 ADB.Miner，该恶意程序影响多款“ADB 调试”开关打开的智能电视、电视盒子、机顶盒等等。这组恶意程序并不是传统的安卓病毒，而是专门在安卓设备后台“挖矿”的新型恶意程序，24 小时内就有 5 千部设备被感染，截止目前有超过七千部设备被感染，中国和韩国是本次蠕虫病毒的重灾区。
从大门溜进的病毒
ADB 是连接安卓设备与 PC 端的桥梁，可以让用户在电脑上对设备进行全面的操作，是安卓系统为方便软件开发者提供的一种调试接口，一般情况下软件开发人员是通过启用 USB 调试选项来使用这种接口的。但事实上，这种接口可以直接绑定到网络端口上。一旦被绑定到网络端口，攻击者就可以在不借助物理接触的前提下，远程操作安卓设备。
5555 端口是安卓设备上 ADB 调试接口的工作端口，正常状态下应该处于关闭状态，但未知原因导致部分设备错误的打开了该端口，ADB.Miner 便通过这一端口入侵用户的手机。
360 网络安全研究院监测发现，5555 端口上的扫描流量从 2 月 3 日下午 15：00 左右，开始达到日常数据的 3 倍，24：00 左右到达 10 倍。这种异常现象，一般都预示着有新型的僵尸、蠕虫或新的网络事件出现，在进一步挖掘求证之后，360 网络安全研究院发现了 ADB.Miner 蠕虫。
2016 年 8 月全球首次大规模物联网攻击的“美国东海岸断网”事件，就是由 360 网络安全研究院的蜜罐系统首次监测发现的。360 监测出现的网络流量异常，最终被证实是一个快速蔓延的僵尸网络 Mirai。也正是由于这次事件的协助调查分析，案件告破后，360 获得 FBI 的公开致谢。
智能电视也沦为“矿机”
2017 年以来，区块链和虚拟货币的爆火使得全球范围内的虚拟货币价格持续走高，因此引发了一阵“挖矿热”。除了常规的通过矿机挖矿外，还有一些人萌生了借助挖矿病毒闷声发大财的想法，也就是通过传播病毒，把普通用户的手机变成免费的“矿机”，最大限度降低挖矿成本。
360 近期发布的《安卓平台挖矿木马研究报告》称:从 2013 年开始至 2018 年 1 月，360 烽火实验室共捕获安卓平台挖矿木马 1200 余个。仅 2018 年 1 月，就捕获安卓平台挖矿木马近 400 个，占全部安卓平台挖矿类木马近三分之一。可以看出，安卓平台的挖矿木马正呈现爆发式增长。
而通过蠕虫式传播的挖矿恶意程序 ADB.Miner，则大大提高了传播速度。
1. ADB.Miner 蠕虫摆脱了通过“短信息/垃圾邮件”等社交诱骗的传播方式，而是直接从 ADB 接口感染和传播。
2. ADB 接口功能相当丰富，其中文件上传功能及 shell 指令为蠕虫的繁殖和运行提供了便利。
3. 在传播中，ADB.Miner 复用了 MIRAI 中 SYN 扫描模块的代码，试图加速对 5555 端口开放情况的探测过程，以便提高传播速度。值得注意的是，这也是 MIRAI 的代码第一次被用安卓设备上的恶意代码中。
360 网络安全研究院监测发现，ADB.Miner 蠕虫的传播速度大概在每 12 小时翻一倍，统计数据显示，2 月 4 日 12 时大概看到有 2700 部设备被感染，而到当日午夜时这个数字已达到 5800。感染数字在 2 月 5 日 15 时左右达到 7000 后，已经维持了大约 20 小时不再上升，可以认为目前蠕虫已经度过了爆发期，进入平稳期。
避免成为挖矿劳工 360 提供防御办法
一旦感染 ADB.Miner，用户的安卓设备将变成“矿机”，内部大量资源被恶意占用，耗电量也会大幅上升，致使安卓设备卡慢、发烫。如果恶意程序在手机中持续不断地“挖矿”，用户手机电池极有可能损坏，造成手机报废。更值得注意的是，该恶意程序还具有 root 权限，存在更严重的安全隐患。
360 网络安全研究院安全专家建议用户，
1. 如果发现家中安卓设备出现发烫、卡慢的情况，及时查看并确保安卓设备的 ADB 调试处于关闭状态，可在设置-系统-开发者选项-网络 ADB 调试中查看；
2. 尽量避免 root 手机；
3. 避免下载安全性未知的应用；
4. 使用 360 手机卫士等安全软件防范恶意程序。
相关文章
