挖矿木马

凌晨两点，挖矿木马我盯着服务器监控面板上那条诡异的挖矿木马CPU曲线——它像心电图一样狂跳，持续了整整四十分钟。挖矿木马正常业务流量早就该睡了，挖矿木马可这台机器还在满负荷运转。挖矿木马登录上去一看，挖矿木马进程列表里躺着一个叫sys-update.service的挖矿木马东西，PID 31415，挖矿木马占用率97%。挖矿木马这就是挖矿木马挖矿木马，一台被劫持的挖矿木马机器，正替别人数钱。挖矿木马

这类木马不偷密码，挖矿木马不删文件，挖矿木马只干一件事：用你的挖矿木马CPU或GPU去算哈希，挖比特币、门罗币之类的加密货币。算出来的币进黑客钱包，电费和硬件损耗你来扛。更阴的是，它装得比正版软件还规矩——有守护进程、有自启动项、甚至带日志轮转，仿佛一个勤恳的夜班工人。

我见过最狠的一次，是在某家做图像渲染的小公司。他们十台工作站全被种了矿马，白天设计师干活时木马休眠，晚上六点一过准时开跑，比员工打卡还准。老板发现电费账单翻了三倍，还以为机房空调漏氟。查到最后，源头竟是设计部某台电脑装了个“破解版PS”，安装包内置了挖矿模块。你看，免费的东西，往往最贵。

挖矿木马的传播套路其实不新鲜：要么靠钓鱼邮件附件，要么伪装成注册机、游戏外挂，要么专挑没打补丁的漏洞服务器下手。但真正让它泛滥的原因，是检测难度。传统杀毒软件靠特征库匹配，可挖矿木马代码改一下哈希就变新样本，几行混淆就能绕过。更麻烦的是，它不碰敏感数据，不触发文件监控，只默默烧你的算力——很多企业直到收到云厂商的“高CPU使用率”告警邮件，才发现自己中招了。

有个朋友在IDC机房做运维，他教我一招土办法：每周随机抽三台服务器，跑一遍top命令，看有没有进程名字和系统服务对不上号。他说：“黑客也懒，命名越像系统进程的，越可疑——真系统进程不会叫‘systemd-update’这种带连字符的怪名字。”后来他们真逮住一个，进程伪装成kworker，但CPU占用稳定在60%，而正常的kworker通常是0%。

对付挖矿木马，技术上无非是封端口、打补丁、上EDR，但我觉得最关键的还是人的习惯。你贪那点破解软件的便宜，就得赌自己的机器够硬。我认识一个程序员，为了省几块钱订阅费，常年用盗版IDE，结果某天git仓库里多出个陌生分支，里面全是挖矿脚本——他整个开发机成了矿工的免费宿舍。你说亏不亏？

说到底，挖矿木马是门“算力盗窃生意”。它不声不响，比勒索病毒还阴——勒索至少会喊一嗓子，挖矿是闷声发大财。下次你电脑风扇突然狂转，别急着怪天气，先看看任务管理器里有没有陌生进程。如果真有，别犹豫，断网、杀进程、查启动项，然后，把那个“免费软件”的下载链接拉黑。