先分析一下Photo.scr这个文件，这个文件是一个PE文件，母体没有加任何的壳，可以直接分析。这个程序的资源段附带了一个被vmp加壳的程序，该附加程序为挖矿程序。先分析母体，嗯，已经基本被各大引擎识别了。
构建一个访问网址
打开恶意网址，读取数据，并且检验文件大小是否位0x800字节
访问失败次数小于900次则继续访问
该网址下载了的是矿机的配置文件
该网址下载的是矿机的配置文件，以下检查配置矿机配置文件内容是否正确
如果检查通过，则继续通过一系列的字符串拼接，最终构成可用的挖矿程序参数
接下来，该母体会通过自身资源释放挖矿程序放在用户的%temp%目录下
创建挖矿程序
我们可以看到生成的挖矿程序
执行挖矿程序
挖矿程序使用了vmp加壳的，所以有检测虚拟机和调试器
接下来会将该母体内置的矿池地址写到%temp%\pools.txt
通过添加HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run实现开机自启动
将母体文件拷贝到各个磁盘根目录
接下来该程序会创建很多的线程，通过内置的用户名和密码来爆破ftp，使用ftp来实现自己的传播，将ftp上每个文件夹都上传母体文件
内置的用户名和密码
并且该程序还会搜索该ftp上的所有文件，检索.php. .html. .asp等常见的web文件，嵌入自己的一个iframe标签，实现通过被攻击用户的web服务下载，增加传染率。
最后，将成功的ftp的用户名，密码，系统等信息上传
总结
这个程序在传播模块这里主要关注通过在用户的web页面中嵌入传播标签，实现更大效率的传播。其他的也没什么了。
矿池地址
42n7TTpcpLe8yPPLxgh27xXSBWJnVu9bW8t7GuZXGWt74vryjew2D5EjSSvHBmxNhx8RezfYjv3J7W63bWS8fEgg6tct3yZ
IOC
Photo.src md5: aba2d86ed17f587eb6d57e6c75f64f05
NsCpuCNMiner32.exe3afeb8e9af02a33ff71bf2f6751cae3a