挖矿木马

挖矿木马(又称挖矿病毒,英文常称 Cryptojacking 或 Mining Trojan)是一类在用户不知情或未授权的情况下,秘密利用受害者计算机、服务器甚至手机的运算资源来挖掘加密货币,并将收益转入攻击者钱包的恶意软件。

概述

随着加密货币价格上涨,直接「偷算力换钱」成为黑产的低成本变现方式,挖矿木马因此大规模流行。与勒索软件不同,它不加密文件、不弹窗勒索,而是追求长期潜伏,受害者往往只感觉到电脑变卡、风扇狂转、电费异常,却很难第一时间意识到已被入侵。

攻击者通常挖掘匿名性强、可用普通 CPU 挖掘的币种(如门罗币),并常直接复用 XMRig 等开源挖矿程序作为核心组件。其传播途径多样,包括利用服务器组件漏洞和弱口令入侵、捆绑在破解软件与外挂中、通过钓鱼邮件投递,以及在网页中植入挖矿脚本(网页挖矿)。企业服务器、云主机和容器环境因算力强、全天在线,是重灾区。

主要特点

• 隐蔽潜伏:常伪装成系统进程,检测到任务管理器或安全软件时会暂停挖矿以躲避发现。
• 持久驻留:通过计划任务、注册表启动项、系统服务甚至 Rootkit 实现开机自启、删了又生。
• 蠕虫化传播:不少家族内置漏洞利用和口令爆破模块,可在内网自动横向扩散。
• 资源榨取:长期高占用 CPU/GPU,导致业务变慢、云账单飙升、硬件寿命缩短。
• 互相排斥:部分样本入侵后会先清除竞争对手的挖矿进程,独占算力。

如何防范与清除

防范的关键是收敛入侵入口:及时修补系统与中间件漏洞,不使用弱口令,限制不必要的端口暴露,不下载来路不明的破解软件。日常可关注 CPU 占用异常、可疑外连矿池域名等迹象;发现感染后,应排查计划任务、启动项和恶意账号,彻底清除持久化机制,必要时重装系统并修复被利用的漏洞,否则极易复发。

常见问题

问:挖矿木马和勒索病毒有什么区别?答:勒索病毒加密文件、公开索要赎金,破坏性直接;挖矿木马则悄悄偷算力变现,追求长期潜伏,通常不破坏数据,但会拖垮性能并留下入侵后门。

问:电脑很卡就是中了挖矿木马吗?答:不一定。卡顿也可能由硬件老化或正常高负载引起,可通过任务管理器查看是否有陌生进程长期占满 CPU/GPU,并结合安全软件全盘查杀来判断。

问:手机和浏览器也会被挖矿吗?答:会。恶意 App 可在后台偷偷挖矿导致手机发烫耗电,某些网页也会嵌入挖矿脚本,只要页面开着就占用你的算力,关闭页面即停止。