Mozi采用了51la網絡平臺來統計分析其自己經營規模,這是僵尸網絡創作者采用的統計分析軟件，其準確度和延遲時間遠超于外界檢測。二零二零年9月，咱們取得了Mozi的后臺管理數據統計，在上面，咱們除開看到了Mozi_BOT網絡節點的數據統計外，還見到下面的圖所顯示的1組未曾見過的匯報通道。2021年8月18周邊，安全廠商網御星云，奇安信公布威協預警信息，1個名叫Wokerminer的挖礦木馬已經根據sftp口令爆破散播，有P2P網絡情形，這導致了咱們的興趣愛好。歷經深入分析，咱們驚訝的看到這恰好是Mozi拒絕服務攻擊中的sftp網絡節點，51la那組獨特匯報通道恰好是來自于它，按照舊例，咱們將它稱作Mozi_sftp。

咱們選擇深入分析的樣本基本資料以下所顯示：簡易而言，Mozi_sftp是一個根據sftp弱口令爆破完成蠕蟲式散播的挖礦木馬，大概于二零二零年10月逐漸活動(根據樣本在ES的時長，不一定精確)，錢包地址以下所顯示，能夠看得出Mozi_sftp和Mozi_ftp采用似的的錢包。Mozi_sftp是由GO源代碼和C源代碼混和編譯程序而成。在其中GO源代碼承擔sftp有關的爆破散播，及其對Config的解決，C源代碼則承擔解決添加MoziP2P網絡，獲取Config和Mozi_ftp似的，用以破譯的Config的XOR密匙，及其用以Config簽名檢測的2個public_key和Mozi_BOT中常用的是似的的，這表明Mozi_sftp與Mozi_BOT源自相同團伙。針對根據檢測后的Config，Mozi_sftp用根據變量set_deal_cons來解決，例如接下來的源代碼片段便是在解決swan標識。相比于Mozi_BOT，Mozi_sftp除開適用基礎標識，還完成了很多已有的獨特標識.