挖矿劫持：当机器在为别人挖矿

它是什么

挖矿劫持是指有人在不属于他、也不由他付费的硬件上运行挖矿软件。这并不少见：恶意软件一旦控制了一台机器，最常做的就是这件事，因为获得收益之后不需要再诱骗受害者做任何事。电费才是受害者，而账单悄无声息。

几乎总是 Monero。这种币用普通处理器就能盈利地挖，所以几千台办公电脑就值得下手，而它的隐私性意味着资金无法被追踪。程序通常是 XMRig，一款普通的开源挖矿软件，只是改了名字和配置。

为别人挖矿的机器，并不会表现出人们所预期的那种感染症状。没有文件被加密，没有文件丢失，也不会出现勒索信息。它只是发热、降频、加速风扇老化，并且花您的钱。

为什么对已经在挖矿的您来说情况不同

所有通用文章都说同样的话：看处理器占用是否高，看是否发热，看风扇。在矿机上，这三者都是正常状态，所以常规建议什么也查不出来。身为矿工，您既是最有条件发现这件事的人，也是最容易被蒙骗的人。

您的优势在于，您拥有几乎没有别人拥有的东西：第二份独立的记录，记录着您的硬件实际产出了多少。您的矿池仪表盘是在别人的服务器上，根据实际到达的工作测量的。如果矿机报告了某个算力，而在考虑过期份额之后，仪表盘明显低于它，那么就有东西在消耗这个差额。

它是如何进来的

途径变化不大，而且都不需要高明的攻击者。

• 破解和盗版软件。仍然是最大的单一来源。付费软件的注册机或补丁安装程序，是您同意以自己的权限运行的程序，挖矿软件就藏在压缩包里一起进来。
• 任何暴露在互联网上却未打补丁的东西。服务器软件中广为人知的旧漏洞一直在被扫描，而挖矿软件是首选载荷，因为它能让一台没有值钱东西可偷的机器变现。
• USB。近期的攻击活动会把自己复制到移动存储设备上，并藏在一个看起来像磁盘图标的快捷方式后面，这就是没有暴露在互联网上的网络仍然会被感染的原因。
• 容器和构建镜像。从公共仓库拉取的基础镜像可能带有挖矿软件，然后它会在基于该镜像构建的每个环境中挖矿。
• 浏览器标签页，不过远不如以前多。页面打开时就挖矿的脚本曾经是一个产业，直到最大的提供商在 2019 年关闭；它们仍存在于流媒体和下载网站上，但标签页关闭时就会停止。

本应空闲的机器上的迹象

• 它从不真正空闲。什么都没打开，风扇仍在高速转动，机箱仍然温热。
• 有一个您说不清来历的进程，名字往往与真实的系统进程很接近。熟悉的名字中只差一个字符，是常见的伎俩。
• 打开任务管理器的那一刻占用就下降，关闭后又回升。这种行为是刻意为之的，单凭这一点就几乎可以证明问题。
• 有一个没人创建过的计划任务、服务或启动项。
• 有发往您不认识的主机的出站连接，并以固定节奏反复出现。

本应在挖矿的矿机上的迹象

这里的问题不是有没有东西在挖矿，而是在挖矿的是否全都是您的。

• 仪表盘持续低于矿机报告的数值，差距超出了过期份额能解释的范围。
• 您只启动了一个挖矿进程，却有两个。在多 GPU 矿机上值得数一数。
• 您的启动脚本或飞行表中有一个不是您输入的钱包地址或主机。请仔细读，不要扫一眼：中间被改动的地址，扫一眼看起来完全一样。
• 某张卡发热却在您的矿池上没有任何产出，这正是第二个挖矿软件绑定在一个设备上的样子。
• 您停止了它，它仍在挖矿。如果停止您自己的挖矿软件后机器没有安静下来，说明还有别的东西在运行。

钱包地址替换，损失比电费更大

另一类恶意软件做的事更恶劣也更简单。它监视剪贴板，当您复制看起来像钱包地址的内容时，就把它替换成攻击者的地址，并且挑选开头和结尾字符相同的地址，好让快速检查也能通过。有人因此损失了大笔资金，完全与挖矿无关，而这两者常常被一起安装。

对矿工来说，同样的思路还有第二种形式：启动脚本或飞行表中的地址被改写一次，之后的每一笔支付都会转到别处。什么都没坏。矿机挖得好好的。钱只是到了另一个钱包，人们通常是在纳闷为什么一直没收到支付时才发现的。

防御方法很枯燥，但有效。在任何重要的地方粘贴地址后，检查整个地址，而不只是开头和结尾，并确认仪表盘上的地址正是您想要的那个。如果您的支付停止了而算力没有停，请先检查地址。

按顺序检查

• 比较两个算力。矿机报告的与矿池仪表盘的对比，看一整天而不是一分钟。
• 阅读您自己的配置。每台矿机上的每个钱包地址和每个主机，逐字符核对。
• 停止您的挖矿软件并观察。之后仍然忙碌的机器，说明有别的东西在运行。
• 列出自动启动的项目。Windows 上的计划任务和服务，Linux 上的定时器和 cron，以及登录时运行的任何东西。
• 在您自己的挖矿软件停止时查看出站连接。任何仍在按节奏通信的连接都值得查明。
• 用可靠的软件扫描，但不要因为结果干净就止步。挖矿软件经常被修改到扫描器无法识别，这就是为什么这一步放在最后而不是最先。

清除不等于删除文件

这些东西被设计成会卷土重来。只删除程序而保留启动它的东西，只能争取几分钟。请删除计划任务、服务、启动项、cron 条目和注册表键，然后删除文件，再重启并检查是否有东西重新出现。

在重要的机器上，尤其是曾经存放过钱包或私钥的机器上，重装系统才是稳妥的选择。能安装挖矿软件的访问权限，同样能安装其他任何东西，而现代攻击活动在过程中会顺便收集凭据。请在另一台设备上更改这台机器用过的所有密码。

保持干净

真正能防止这种情况的规则很枯燥，而人们恰恰会跳过它们，因为挖矿本来就要从陌生人那里下载未签名的软件。

• 挖矿软件来自项目自己的发布页面，并核对公布的校验值。来自论坛链接、视频简介或重新打包压缩包的挖矿软件，是挖矿机器被感染最可能的途径，正是因为您本来就预料会有警告并忽略了它。
• 绝不在挖矿或存放钱包的机器上运行破解软件。永远不要。这两种习惯不能混在一起。
• 给任何暴露在互联网上的东西打补丁。大多数感染是自动化的，按版本号挑选机器。
• 让接收支付的钱包与挖矿的机器分开。矿机只需要地址，从不需要密钥。
• 每次更改矿机后，以及矿机发生任何意外情况后，都检查您的支付地址。