挖矿木马（Cryptojacking）

挖矿木马（Cryptojacking）是一种在受害者不知情的情况下，劫持其电脑、服务器或手机的计算资源来挖掘加密货币的恶意程序，攻击者坐收挖矿收益，而硬件损耗和电费全由受害者承担。

概述

挖掘门罗币（Monero）等加密货币需要消耗大量算力和电力，一些攻击者不愿自己购置矿机，便通过木马入侵他人设备「白嫖」算力，这类攻击被称为 Cryptojacking（加密货币劫持），中文俗称挖矿木马或恶意挖矿。由于门罗币匿名性强且对普通 CPU 友好，成为挖矿木马最常见的目标币种。

与勒索软件不同，挖矿木马追求长期潜伏、闷声赚钱，通常不会破坏文件或弹窗勒索，很多受害者只是感觉「电脑越来越卡」，长时间意识不到已经中招。除了本地木马，还存在网页挖矿形式：网页中嵌入挖矿脚本，访客打开页面时浏览器就会被占用 CPU 挖矿，早年的 Coinhive 脚本就是典型代表。

主要特点

• 劫持算力：长时间占用 CPU 或显卡资源，导致设备卡顿、风扇狂转、发热耗电明显增加。
• 隐蔽性强：常伪装成系统进程，部分木马检测到用户打开任务管理器时会暂停挖矿以躲避发现。
• 传播途径广：通过盗版软件、破解补丁、游戏外挂、钓鱼邮件传播，也大量利用服务器的弱口令和未修补漏洞批量入侵。
• 偏爱服务器与云主机：服务器算力强且全天开机，Linux 服务器、Docker 和云平台是重灾区，还可能拖垮业务甚至产生高额云账单。
• 常驻与复活：通过计划任务、启动项等方式驻留，简单结束进程后往往会自动复活，需彻底清除。

常见问题

问：怎么判断电脑或服务器中了挖矿木马？答：典型迹象是空闲时 CPU 或显卡占用异常飙高、风扇持续高转速、系统明显变卡；服务器上可留意陌生的高负载进程、异常计划任务，以及连接矿池地址的可疑外联流量。

问：中了挖矿木马会丢文件或被盗号吗？答：挖矿木马本身以偷算力为目的，一般不直接破坏文件，但它的存在说明系统已被入侵，攻击者完全可能顺手植入后门或窃取数据，因此必须彻底排查清除，不能只结束进程了事。

问：如何防范挖矿木马？答：不下载来路不明的破解软件和外挂，及时更新系统与软件补丁，服务器使用强密码或密钥登录并修补已知漏洞，配合杀毒软件和资源监控；发现中招后应清除木马的进程、计划任务和启动项，服务器建议重装系统并排查入侵入口。