xmrig 算力劫持 5 步应急处置从告警到清零【免费下载链接】xmrigRandomX, KawPow, CryptoNight and GhostRider unified CPU/GPU miner and RandomX benchmark项目地址: https://gitcode.com/GitHub_Trending/xm/xmrig监控突然报 CPU 97% 打满top 里多出一个你不认识的全速进程第一怀疑对象就是 xmrig 类算力劫持。[09:12:03] ALERT hostweb-03 metriccpu.usage value97% sustained30m [09:12:04] top -bn1 | head -5 PID USER %CPU %MEM COMMAND 2847 root 798.0 1.2 ./miner如果你的机器也在告警现在开始。定位从告警确认嫌疑进程09:12先排除误报再确认这台机器是否本来就该跑矿机xmrig 既是开源矿机也是 RandomX 基准测试工具若这台机器是你的自有矿节点后面就是配置审计而不是入侵处置。读 /proc/ /cmdline启动参数不会说谎跑这条锁定全速进程和它的真实身份# 按 CPU 占用排序锁定第一名 ps aux --sort-%cpu | head -5 # 倒出该进程的完整启动参数 sudo cat /proc/2847/cmdline | tr \0 ; echo如果看到 cmdline 里有-o pool.xxx:443或--config /dev/shm/xxx.json说明外联目标和配置位置直接可读如果 cmdline 是空的说明进程名被改过需要看内存映射进一步确认。跑这条看二进制里实现了什么算法这是判断是不是 xmrig最直接的证据# 从二进制倒出可读字符串过滤挖矿算法关键词 strings -a /path/to/miner | grep -iE xmrig|randomx|cryptonight|kawpow | head -10如果看到RandomX、cn/1之类的字符串说明这个二进制要么是 xmrig 构建版要么是基于 xmrig 打包的变种算法名也是后面判断外联端口的依据。想看它的正常面孔就把可疑二进制丢进隔离虚拟机里跑一遍启动输出会显示它连接的矿池、算法和实时算力这些都可以作为判定证据。 提示/proc/2847/exe指向的路径带deleted后缀说明文件已删但进程还活着立即从该路径拷贝二进制留证。定位三件事文件、外联、启动参数09:18确认是挖矿进程后并行查三件事文件在哪、连了谁、怎么被拉起来的。ss -antp盯死 3333/5555/443跑这条定位文件的真实位置——路径比进程名重要攻击者常把它改名成不起眼的路径# 查看进程可执行文件、工作目录和打开的配置文件 sudo ls -l /proc/2847/exe /proc/2847/cwd sudo lsof -p 2847 2/dev/null | grep -E \.(json|conf|cfg)$如果看到 exe 指向 /dev/shm/ 或 /tmp/ 子目录说明攻击者用内存盘藏文件/dev/shm 是 xmrig 变种投放文件的高频位置。跑这条确认外联——xmrig 官方矿池端口常见 3333/5555恶意变种则常用 443 走 TLS 伪装绕过出站白名单# 过滤该进程已建立的外联 sudo ss -antp | grep 2847如果看到对 443/3333 的 ESTAB 连接且远端 IP 不在你的服务清单里说明外联成立记下远端 IP后面阻断和溯源都要用。对照官方配置哪些字段是隐藏自己跑这条把进程实际读取的配置倒出来和 src/config.json 的官方结构逐字段对比# 读进程 cwd 下指向的配置文件 sudo cat /proc/2847/cwd/*.json 2/dev/null | head -30如果看到background: true、log-file: null、donate-level: 0同时出现说明是典型的隐藏自己组合官方最低捐赠级别是 1%见 src/donate.hdonate-level 0 基本只出现在修改版或第三方打包变体里max-threads-hint: 100表示满核占用按 doc/CPU_MAX_USAGE.md 的说法该值只决定线程数量化但和上面几个隐藏字段叠加时恶意性质已经清楚。⚠ 注意证据没采完之前别杀进程。杀掉后 /proc/2847 消失cmdline 和连接证据全部归零。阻断切断到矿池的外联09:35进程可以晚杀外联必须先断——它还在上报 hash就在偷你的资源。iptables REJECT先断后杀跑这条阻断上一步确认的矿池 IP留 REJECT 日志方便事后溯源# 在 OUTPUT 链头部插入 REJECT 规则阻断已确认的矿池 IP 段 sudo iptables -I OUTPUT -d 45.154.148.0/24 -j REJECT --reject-with icmp-host-prohibited sudo iptables -L OUTPUT -n | head -5如果看到 REJECT 规则出现在链首、进程外联反复卡在 SYN-SENT/CLOSED说明阻断生效如果连接立刻换到别的 IP说明矿机内置故障转移直接进入下一步。再跑这条检查 xmrig 的 HTTP API 有没有被暴露——官方默认是 127.0.0.1 加 restricted 模式如果攻击者把监听改成 0.0.0.0 并设restricted: false就能通过 doc/API.md 描述的接口远程改你的挖矿配置这是个二次后门# 检查 API 端口的监听地址 sudo ss -antlp | grep -iE xmrig|api # 本地探测 summary 接口 curl -s http://127.0.0.1:api_port/1/summary如果看到 LISTEN 地址是 0.0.0.0说明 API 已暴露先在防火墙上关掉该端口再杀进程响应里的字段结构可对照 doc/api/1/summary.json。⚠ 注意iptables 规则重启即失效阻断只是买时间必须马上进入杀进程和清持久化。清除杀进程、拔持久化10:02外联断掉后杀进程再逐个清理持久化点——持久化才是矿工杀完又复活的原因。pgrep 先预演再 kill -9跑这条杀进程前先预演一遍防止误杀业务里恰好带 miner 字样的服务# 先 dry-run 看会命中哪些进程 pgrep -af xmrig|miner # 确认无误后杀掉 sudo kill -9 $(pgrep -f xmrig|miner)如果第一条命中了非挖矿业务进程把匹配条件收窄成完整路径再执行杀完后pgrep -af再跑一遍无输出才算清干净。crontab 与 /dev/shm最高频的两个持久化点跑这条检查 Linux 持久化点重点看 crontab、/etc/cron*、systemd、启动脚本四处# 用户级和 root 级 crontab crontab -l 2/dev/null; sudo crontab -l -u root # 系统 cron 目录与启动脚本 sudo grep -rE xmrig|/dev/shm|/var/tmp /etc/cron* /etc/rc.local 2/dev/null # 自启动单元 sudo systemctl list-unit-files --stateenabled 2/dev/null | grep -viE systemd|dbus|udev如果看到* * * * * root /dev/shm/start.sh这样的行说明进程每分钟自动复活必须同时删掉这一行和 /dev/shm/start.sh没命中不代表没持久化继续查文件层。Windows 主机用这两条查启动项和签名# 查当前用户启动项 Get-ItemProperty HKCU:\Software\Microsoft\Windows\CurrentVersion\Run # 验证可疑二进制的签名状态 Get-AuthenticodeSignature C:\temp\xmrig.exe如果 Run 键下有 xmrig 之类的非系统名称说明开机自启用 reg delete 删掉对应项签名状态上注意开源项目官方二进制通常本身不带代码签名未签名不等于恶意要结合你自己下载的发布产物比对哈希判断。持久化清完后处理文件层# 定位所有可疑二进制与配置 sudo find / -xdev \( -name xmrig* -o -name miner \) -type f 2/dev/null | xargs ls -la如果列表为空说明文件层已干净有命中就先 cp -a 拷一份到取证目录再删同时检查 /var/tmp、/tmp 下同名文件。⚠ 注意删掉 crontab 行之后它指向的 .sh 和 /dev/shm 里的二进制必须一并删除否则下次触发照样全复活。验证确认恢复并固化10:40清理完成后按进程、网络、资源三层验证。跑这条确认没有复活# 复查残留进程与挖矿相关端口 pgrep -af xmrig|miner; ss -antp | grep -E :3333|:5555如果两条都无输出说明进程和外联层已干净pgrep 再次命中说明还有持久化没清回上一步重查 cron 和 systemd。跑这条观察资源是否回落# 间隔 10 秒采样两次看 CPU 总占用 top -bn2 -d 10 | grep -A4 %Cpu如果 %Cpu 的 us 回到基线例如 20% 以下、top 里不再出现挖矿进程说明这次算力劫持清零了。最后把本次用到的检测点写进基线监控/dev/shm 写文件、出站 3333/5555、root 进程满核占核下次告警就该由监控发出而不是靠人肉巡检。 提示验证至少要跨一次重启很多持久化点只在系统重启后才现身。速查操作优先级下次再遇到这类告警按这个顺序执行优先级动作关键命令P0留证cat /proc/pid/cmdline 拷贝二进制和配置P0阻断外联 杀进程iptables -I OUTPUTkill -9 $(pgrep -f xmrig)P1拔持久化清 crontab / /etc/cron* / systemd / /dev/shm 四处P2验证恢复pgrepsstop三重复查观察一个重启周期P2固化防御挖矿三特征写进基线监控或 EDR 规则延伸阅读eBPF 追踪用 BPF 程序挂 openat 系统调用在 /dev/shm 可执行文件被写入的瞬间捕获不用等 CPU 告警触发。EDR 规则写法把root 身份 非标准路径 出站 3【免费下载链接】xmrigRandomX, KawPow, CryptoNight and GhostRider unified CPU/GPU miner and RandomX benchmark项目地址: https://gitcode.com/GitHub_Trending/xm/xmrig创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
xmrig 算力劫持 5 步应急处置从告警到清零【免费下载链接】xmrigRandomX, KawPow, CryptoNight and GhostRider unified CPU/GPU miner and RandomX benchmark项目地址: https://gitcode.com/GitHub_Trending/xm/xmrig监控突然报 CPU 97% 打满top 里多出一个你不认识的全速进程第一怀疑对象就是 xmrig 类算力劫持。[09:12:03] ALERT hostweb-03 metriccpu.usage value97% sustained30m [09:12:04] top -bn1 | head -5 PID USER %CPU %MEM COMMAND 2847 root 798.0 1.2 ./miner如果你的机器也在告警现在开始。定位从告警确认嫌疑进程09:12先排除误报再确认这台机器是否本来就该跑矿机xmrig 既是开源矿机也是 RandomX 基准测试工具若这台机器是你的自有矿节点后面就是配置审计而不是入侵处置。读 /proc/ /cmdline启动参数不会说谎跑这条锁定全速进程和它的真实身份# 按 CPU 占用排序锁定第一名 ps aux --sort-%cpu | head -5 # 倒出该进程的完整启动参数 sudo cat /proc/2847/cmdline | tr \0 ; echo如果看到 cmdline 里有-o pool.xxx:443或--config /dev/shm/xxx.json说明外联目标和配置位置直接可读如果 cmdline 是空的说明进程名被改过需要看内存映射进一步确认。跑这条看二进制里实现了什么算法这是判断是不是 xmrig最直接的证据# 从二进制倒出可读字符串过滤挖矿算法关键词 strings -a /path/to/miner | grep -iE xmrig|randomx|cryptonight|kawpow | head -10如果看到RandomX、cn/1之类的字符串说明这个二进制要么是 xmrig 构建版要么是基于 xmrig 打包的变种算法名也是后面判断外联端口的依据。想看它的正常面孔就把可疑二进制丢进隔离虚拟机里跑一遍启动输出会显示它连接的矿池、算法和实时算力这些都可以作为判定证据。 提示/proc/2847/exe指向的路径带deleted后缀说明文件已删但进程还活着立即从该路径拷贝二进制留证。定位三件事文件、外联、启动参数09:18确认是挖矿进程后并行查三件事文件在哪、连了谁、怎么被拉起来的。ss -antp盯死 3333/5555/443跑这条定位文件的真实位置——路径比进程名重要攻击者常把它改名成不起眼的路径# 查看进程可执行文件、工作目录和打开的配置文件 sudo ls -l /proc/2847/exe /proc/2847/cwd sudo lsof -p 2847 2/dev/null | grep -E \.(json|conf|cfg)$如果看到 exe 指向 /dev/shm/ 或 /tmp/ 子目录说明攻击者用内存盘藏文件/dev/shm 是 xmrig 变种投放文件的高频位置。跑这条确认外联——xmrig 官方矿池端口常见 3333/5555恶意变种则常用 443 走 TLS 伪装绕过出站白名单# 过滤该进程已建立的外联 sudo ss -antp | grep 2847如果看到对 443/3333 的 ESTAB 连接且远端 IP 不在你的服务清单里说明外联成立记下远端 IP后面阻断和溯源都要用。对照官方配置哪些字段是隐藏自己跑这条把进程实际读取的配置倒出来和 src/config.json 的官方结构逐字段对比# 读进程 cwd 下指向的配置文件 sudo cat /proc/2847/cwd/*.json 2/dev/null | head -30如果看到background: true、log-file: null、donate-level: 0同时出现说明是典型的隐藏自己组合官方最低捐赠级别是 1%见 src/donate.hdonate-level 0 基本只出现在修改版或第三方打包变体里max-threads-hint: 100表示满核占用按 doc/CPU_MAX_USAGE.md 的说法该值只决定线程数量化但和上面几个隐藏字段叠加时恶意性质已经清楚。⚠ 注意证据没采完之前别杀进程。杀掉后 /proc/2847 消失cmdline 和连接证据全部归零。阻断切断到矿池的外联09:35进程可以晚杀外联必须先断——它还在上报 hash就在偷你的资源。iptables REJECT先断后杀跑这条阻断上一步确认的矿池 IP留 REJECT 日志方便事后溯源# 在 OUTPUT 链头部插入 REJECT 规则阻断已确认的矿池 IP 段 sudo iptables -I OUTPUT -d 45.154.148.0/24 -j REJECT --reject-with icmp-host-prohibited sudo iptables -L OUTPUT -n | head -5如果看到 REJECT 规则出现在链首、进程外联反复卡在 SYN-SENT/CLOSED说明阻断生效如果连接立刻换到别的 IP说明矿机内置故障转移直接进入下一步。再跑这条检查 xmrig 的 HTTP API 有没有被暴露——官方默认是 127.0.0.1 加 restricted 模式如果攻击者把监听改成 0.0.0.0 并设restricted: false就能通过 doc/API.md 描述的接口远程改你的挖矿配置这是个二次后门# 检查 API 端口的监听地址 sudo ss -antlp | grep -iE xmrig|api # 本地探测 summary 接口 curl -s http://127.0.0.1:api_port/1/summary如果看到 LISTEN 地址是 0.0.0.0说明 API 已暴露先在防火墙上关掉该端口再杀进程响应里的字段结构可对照 doc/api/1/summary.json。⚠ 注意iptables 规则重启即失效阻断只是买时间必须马上进入杀进程和清持久化。清除杀进程、拔持久化10:02外联断掉后杀进程再逐个清理持久化点——持久化才是矿工杀完又复活的原因。pgrep 先预演再 kill -9跑这条杀进程前先预演一遍防止误杀业务里恰好带 miner 字样的服务# 先 dry-run 看会命中哪些进程 pgrep -af xmrig|miner # 确认无误后杀掉 sudo kill -9 $(pgrep -f xmrig|miner)如果第一条命中了非挖矿业务进程把匹配条件收窄成完整路径再执行杀完后pgrep -af再跑一遍无输出才算清干净。crontab 与 /dev/shm最高频的两个持久化点跑这条检查 Linux 持久化点重点看 crontab、/etc/cron*、systemd、启动脚本四处# 用户级和 root 级 crontab crontab -l 2/dev/null; sudo crontab -l -u root # 系统 cron 目录与启动脚本 sudo grep -rE xmrig|/dev/shm|/var/tmp /etc/cron* /etc/rc.local 2/dev/null # 自启动单元 sudo systemctl list-unit-files --stateenabled 2/dev/null | grep -viE systemd|dbus|udev如果看到* * * * * root /dev/shm/start.sh这样的行说明进程每分钟自动复活必须同时删掉这一行和 /dev/shm/start.sh没命中不代表没持久化继续查文件层。Windows 主机用这两条查启动项和签名# 查当前用户启动项 Get-ItemProperty HKCU:\Software\Microsoft\Windows\CurrentVersion\Run # 验证可疑二进制的签名状态 Get-AuthenticodeSignature C:\temp\xmrig.exe如果 Run 键下有 xmrig 之类的非系统名称说明开机自启用 reg delete 删掉对应项签名状态上注意开源项目官方二进制通常本身不带代码签名未签名不等于恶意要结合你自己下载的发布产物比对哈希判断。持久化清完后处理文件层# 定位所有可疑二进制与配置 sudo find / -xdev \( -name xmrig* -o -name miner \) -type f 2/dev/null | xargs ls -la如果列表为空说明文件层已干净有命中就先 cp -a 拷一份到取证目录再删同时检查 /var/tmp、/tmp 下同名文件。⚠ 注意删掉 crontab 行之后它指向的 .sh 和 /dev/shm 里的二进制必须一并删除否则下次触发照样全复活。验证确认恢复并固化10:40清理完成后按进程、网络、资源三层验证。跑这条确认没有复活# 复查残留进程与挖矿相关端口 pgrep -af xmrig|miner; ss -antp | grep -E :3333|:5555如果两条都无输出说明进程和外联层已干净pgrep 再次命中说明还有持久化没清回上一步重查 cron 和 systemd。跑这条观察资源是否回落# 间隔 10 秒采样两次看 CPU 总占用 top -bn2 -d 10 | grep -A4 %Cpu如果 %Cpu 的 us 回到基线例如 20% 以下、top 里不再出现挖矿进程说明这次算力劫持清零了。最后把本次用到的检测点写进基线监控/dev/shm 写文件、出站 3333/5555、root 进程满核占核下次告警就该由监控发出而不是靠人肉巡检。 提示验证至少要跨一次重启很多持久化点只在系统重启后才现身。速查操作优先级下次再遇到这类告警按这个顺序执行优先级动作关键命令P0留证cat /proc/pid/cmdline 拷贝二进制和配置P0阻断外联 杀进程iptables -I OUTPUTkill -9 $(pgrep -f xmrig)P1拔持久化清 crontab / /etc/cron* / systemd / /dev/shm 四处P2验证恢复pgrepsstop三重复查观察一个重启周期P2固化防御挖矿三特征写进基线监控或 EDR 规则延伸阅读eBPF 追踪用 BPF 程序挂 openat 系统调用在 /dev/shm 可执行文件被写入的瞬间捕获不用等 CPU 告警触发。EDR 规则写法把root 身份 非标准路径 出站 3【免费下载链接】xmrigRandomX, KawPow, CryptoNight and GhostRider unified CPU/GPU miner and RandomX benchmark项目地址: https://gitcode.com/GitHub_Trending/xm/xmrig创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
