Swarm:當心Chia和Swarm挖礦木馬程序感染你的主機_WAR

本文來自騰訊安全應急響應中心，作者宙斯盾流量安全分析團隊Pav1，星球日報經授權轉載。引文

2021年上半年，虛擬加密貨幣(Cryptocurrency，下文簡稱“虛擬貨幣”)價格屢創新高的新聞一次又一次的吸引著人們的目光，其中比特幣是大眾最為熟知的虛擬貨幣。特斯拉公司也在2月份高調宣布購入價值15億美元的比特幣，并計劃開始接受比特幣作為其公司電動車產品的付款方式。而特斯拉公司的CEO埃隆·馬斯克也在國外社交平臺公開表示大力支持狗狗幣，使其價格最高沖到0.73美元/枚，較年初暴漲近百倍。虛擬貨幣的瘋狂除了引來了大量的資本涌入，還吸引了不少黑產的關注。騰訊安全平臺部宙斯盾流量安全分析系統監測到在2021年上半年，與加密貨幣挖礦相關的惡意樣本數量明顯增加，并且隨著虛擬貨幣的種類不斷增加和技術的不斷發展，一類新型的挖礦方法逐漸出現在我們的視野當中。概述

相信絕大部分安全從業者除了對比特幣比較了解以外，對門羅幣也比較熟悉。門羅幣是一個創建于2014年4月的開源加密貨幣，采用了與比特幣不同的CryptoNote協議，使其更加適合使用CPU進行挖礦。門羅幣的這種特性導致了其被黑產大量使用，目前宙斯盾流量安全分析系統捕獲的大部分挖礦腳本都是在進行門羅幣的挖礦活動，一旦服務器惡意攻擊者被植入門羅幣挖礦腳本，最突出的表現就是CPU使用率大幅升高。

證券律師：現貨比特幣ETF申報者與美SEC將于下周舉行會議:7月6日消息，彭博社高級ETF分析師Eric Balchunas推特發文稱，“根據我們發現的可靠專家（BiasKnox）的說法，現貨比特幣ETF申報者和美國證券交易委員會（SEC）將于下周舉行會議。在我看來，他們應該會面，他們肯定‘需要談談’。需要明確的是，我們不能100%確認這是真的！只是試圖從合法來源分享我們在這一切中發現有趣或有用的東西。”經查看，BiasKnox的個人簡介為證券律師。[2023/7/6 22:20:37]

圖1門羅幣礦池頁面2021年6月份，宙斯盾流量安全分析系統開始監測到一類挖礦腳本，服務器在被植入該腳本后，CPU并沒有表現出極高的使用率，反而是硬盤被占用了極大的空間。深入了解后，發現是出現了一類以占用硬盤空間和網絡帶寬來進行挖礦的虛擬貨幣。這類虛擬貨幣的設計初衷是為了實現去中心化的存儲與通信的目標，比較有代表性的幣種是Filecoin、Chia、Swarm和Dfinity。我們在六月份監測到了Chia與Swarm相關的挖礦腳本，并且被感染量在幾天內從數十臺增加到了數百臺，其中Swarm占據了大部分。典型的Swarm挖礦腳本主要的流程如下所示：

美元指數DXY短線走低35點:9月28日消息，行情顯示，美元指數DXY短線走低35點，現報113.30，日內跌0.74%。[2022/9/28 5:59:02]

圖2Swarm挖礦腳本流程圖

圖3Swarm挖礦腳本-主函數Swarm簡介

Swarm項目的火爆離不開以太坊，Swarm項目是以太坊的官方項目之一，由以太坊基金會領投，并且是V神親自站臺的項目。不難看出，以太坊生態的繁榮造就了Swarm的項目的火爆，同時Swarm項目也可以為以太坊網絡中的應用提供存儲、帶寬等資源。目前以太坊網絡上的很多項目的數據都還是存儲在傳統中心化的云服務商的服務器中，一旦這些服務器出現問題，那么意味著用戶的數據和資產也會受到損失。這時，Swarm這類項目的優勢就體現了出來，能夠通過去中心化的存儲來解決這種問題。

英國橄欖球傳奇人物Lawrence Dallaglio被任命為Caduceus全球戰略顧問:8月9日消息，英國橄欖球世界杯冠軍，前英格蘭隊長，世界橄欖球名人堂傳奇人物 Lawrence Dallaglio 被去中心化邊緣渲染元宇宙協議 Caduceus 任命為全球戰略顧問，致力于將體育帶入元宇宙。

作為少數同時贏得橄欖球世界杯和七人制世界杯的球員之一，Lawrence Dallaglio 表示：我只對行業頂流項目合作感興趣，Caduceus 是我在 Web3 領域見到唯一一個適合合作的項目，它遙遙領先其他項目，相信此次合作將是一段非常激動人心的旅程。

Caduceus 作為專為元宇宙及數字世界打造的開放式基礎設施平臺，已受到多位體育巨星的青睞。此前曾獲得足球傳奇巨星 John Terry 的投資，并與英國板球教父 Ian Botham 在 NFT 及元宇宙達成深度合作。（雅虎財經）[2022/8/9 12:12:38]

Messari創始人：Genesis因三箭資本損失的12億美元或超過DCG歷史總凈收入:7月19日消息，Messari創始人Ryan Selkis表示，Genesis因三箭資本損失的12億美元，很有可能超過Digital Currency Group（DCG）歷史總凈收入。Grayscale總凈收入約為10億美元。Messari預估Genesis在2020年的收入為5000萬美元，假設去年收入增長5倍，并且一直保持30%的利潤率，額外的2億美元也會抹去該產品線的所有凈收入。

此前消息，加密貨幣經紀商Genesis Global Trading對現已破產的三箭資本提出了12億美元的索賠。Genesis的母公司Digital Currency Group（DCG）已經承擔了Genesis在該案中的部分債務，但目前尚不清楚有多少債務仍由Genesis承擔。[2022/7/19 2:24:09]

圖4Swarm官方網站通過閱讀Swarm項目的白皮書可以發現，Swarm項目中的節點共同組成了一個巨大的P2P網絡，在這個網絡中，每個節點都能夠提供數據的存儲和內容分發的服務。簡單來說，如果想要使用Swarm來存儲數據，需要使用Swarm項目中的代幣BZZ，這個BZZ代幣也是Swarm挖礦的收益。如果一個節點能夠提供越大的存儲空間和帶寬，那么他也將獲得更多的BZZ代幣，也就是挖礦收益。類比現有的產品，Swarm的設計導致其更像實現了一個去中心化的CDN或者網盤，以往我們需要去各種CDN或者網盤提供商付費使用其CDN或者網盤服務，而現在我們只需要在Swarm上支付BZZ代幣來獲取類似CDN或者網盤一樣的服務。而我們的數據并不是唯一的保存在某一個服務提供商的服務器上，而是分散的存儲在多個地方，提高了數據的安全性，可以避免數據被監視的情況。那么這就很好理解挖掘Swarm代幣BZZ與挖掘門羅幣的不同，挖掘門羅幣需要消耗大量的CPU資源，從而會消耗大量的電力，而挖掘BZZ并不需要大量的計算資源，只需要占用存儲空間和帶寬，就能夠獲得收益，消耗的電力很小，是一種相對環保的挖礦方式。

Venus公布協議恢復計劃，將于5月18日投票下架LUNA和UST市場:5月15日消息，借貸協議VenusProtocol公布公告稱目前已關閉所有喂價，僅允許存款和還款，無法進行借貸和清算。之后Venus將于北京時間5月16日7:00恢復除LUNA和UST之外的其他資產喂價，并于5月17日5:30激活VIP-61，將LUNA和UST抵押因子設置為零。用戶可以在5月17日6:00至5月23日）0:30之間退出LUNA和UST市場，期間將于5月18日18:30投票取消LUNA和UST市場。

此前消息，由于Chainlink預言機在LUNA價格跌破0.1美元后暫停更新LUNA價格，攻擊者利用該漏洞抵押實際價值不足0.1美元的LUNA借出資產使得協議損失超1000萬美元，后Chainlink稱出現該情況是由于觸發了最小精度熔斷機制。[2022/5/15 3:16:58]

圖5Swarm節點之間的Kademlia網絡連接一個節點會至少與八個緊鄰接點形成全連接，從而形成一個巨大且聯系緊密的網狀結構特征與檢測雖然挖掘Swarm代幣BZZ并不占用大量的CPU資源，這并不意味著我們不能檢測其存在。在進行Swarm代幣BZZ的挖礦過程中，最主要的特征是消耗帶寬和硬盤空間，如果在日常使用電腦的過程中發現了硬盤空間突然被大量占用并且有一個程序占用了大量的網絡帶寬，則可以去查看下是否被植入了Swarm挖礦木馬。同時，Swarm挖礦還會有以下一些比較具體的特征，供網絡安全從業者來進行判斷：1.流量特征在進行門羅幣挖礦時，挖礦程序需要與礦池連接，并且將計算結果與區塊等信息與礦池同步，其中還包含了登錄的過程，所以門羅幣挖礦的流量特征很明顯。挖掘BZZ與門羅幣的原理完全不同，但是從官方的文檔中可以得知，挖礦程序必須連接到區塊鏈網絡中，官方推薦是自己搭建XDAI區塊鏈節點來連接入區塊鏈網絡，也可以使用公共的服務例如stake.getblock.io來連接到區塊鏈網絡中。Swarm挖礦程序與XDAI區塊鏈節點進行的通信流量如下：

圖6挖礦程序與交換斷端點的通信流量如上圖可以看出，在挖礦程序與交換端點進行通訊時，同樣采用了jsonrpc協議，這點與門羅幣挖礦相同，并且數據包的強特征明顯，可以針對數據包中的關鍵詞或者數據包中的結構進行檢測。2.文件特征Swarm項目官方所使用的挖礦軟件是Bee(https://github.com/ethersphere/bee)，這款軟件是使用go編寫的，支持linux、windows系統，并且支持ARM、X86等多種架構。通過運行官方的程序來搭建Swarm項目的挖礦節點，可發現運行程序后會在配置文件指定的data-dir目錄下創建以下三個目錄：Keys目錄：該目錄下會保存在節點初始化過程中產生的密鑰，是整個節點中最為重要的數據。Statestore目錄：該目錄下保存了當前節點的相關信息，例如區塊列表，SWAP余額等。Localstore目錄：該目錄下就是當前節點的區塊數據。3.端口特征Swarm項目在運行時默認使用1633，1634，1635這三個端口來進行數據交換。1633端口：是默認的HTTPAPI端口，可以通過HTTP協議訪問該端口來查看節點運行情況，上傳與下載文件等操作。1634端口：是默認的P2P端口，與外部的節點進行P2P的連接則需要通過該端口。1635端口：是默認調試端口，這個端口的開放必須要在配置文件中配置debug-api-enable為True才會打開。通過檢測上述端口的開放與連接情況也能了解主機是否運行了Swarm挖礦程序Bee。總結與展望在今年上半年，Swarm項目啟動了不需要質押就能夠挖礦的測試活動，吸引了大批的礦工參與，并且還出現了云服務器提供商販賣Swarm節點的情況。在6月22日，Swarm項目迎來了1.0主網的上線，將項目的熱度推向了高點。Swarm項目憑借著大V展臺和以太坊的生態加持，成為了目前分布式存儲區塊鏈項目中的佼佼者。由于Swarm的挖礦還存在著質押、最小磁盤空間和高速帶寬要求，并且幣價在主網剛上線之后也不穩定，可能在之后的流行程度要畫一個問號，但是只要有利潤存在，就有可能被黑產等非法攻擊者所利用，無論是個人還是公司都需要在日后針對此種類型的挖礦行為多加預防，防患于未然。

Tags：ARMSwarmWAR門羅幣Animal Farm Pigsswarm幣今日價格HappyLand Reward Token門羅幣哪個國家的

Gate.io