文章总结： 本文系统阐述挖矿病毒人工溯源的最佳实践方法论，核心目标是从可疑进程出发回答五个关键问题：谁运行、谁启动、如何驻留、从哪进入、影响哪些资产。文章提出八步溯源流程：保护现场、确认矿工进程、锁定载荷配置、沿启动链查持久化、还原初始入口与横向移动、检查容器与云环境、重建时间线、清除恢复验证。强调以时间线为骨架、多源证据为约束，形成可复核的根因结论，并提供具体命令示例与操作建议。 综合评分： 88 文章分类： 应急响应,恶意软件,安全运营,实战经验

挖矿病毒人工溯源最佳实践

原创

ITPAPA ITPAPA

ITPAPA

2026年8月4日 23:43 江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

挖矿病毒手动溯源最佳实践

从一个高负载进程，重建完整的入侵与收益链

图 1｜可疑矿工进程是证据枢纽，不是溯源终点

核心方法｜挖矿病毒手动溯源的目标，不是证明“机器在挖矿”，而是回答五个问题：谁在运行、谁启动它、如何驻留、从哪里进入、影响了哪些资产。最佳实践是以时间线串联进程、网络、文件、身份、持久化和云审计证据，最终形成可复核的根因结论。

01  先保护现场：不要让“查杀”毁掉溯源

发现高负载后，先记录主机名、IP、登录用户、系统时间与时区、告警时间、操作人和业务状态。优先在交换机、EDR、云安全组或身份层隔离；不要立即重启、删除矿工、清空任务或关闭连接，因为内存、父子进程、打开句柄和短连接会随之消失。若业务正在严重受损，应先控损，但要同步快照虚拟机、保存易失信息并记录每个动作。NIST SP 800-61r3 强调把检测、响应与恢复纳入统一风险管理流程。

现场纪律｜命令输出统一保存；文件和导出日志计算 SHA-256；记录采集时间、工具版本与操作者。外部样本平台应先查 Hash，上传完整文件必须符合组织的数据与隐私制度。

图 2｜手动溯源的八步顺序：先保全，再回溯

02  第一跳：确认矿工，并把进程与网络绑定

高 CPU/GPU 只能算线索。确认至少需要两类证据互相印证：异常进程及命令行、矿工配置或典型字符串、到矿池/代理的持续外联、异常容器/云实例，或与计划任务、服务、cron 相连的启动链。MITRE 对计算劫持的检测同样强调“持续资源占用 + 可疑执行 + 网络连接 + 持久化”，而不是只看端口或进程名。

Windows｜先定位 PID、父进程、路径与外联 Get-Process | Sort-Object CPU -Desc | Select-Object -First 20 Get-CimInstance Win32_Process   | Select-Object ProcessId,ParentProcessId,ExecutablePath,CommandLine Get-NetTCPConnection -State Established   | Select-Object LocalAddress,RemoteAddress,RemotePort,OwningProcess Get-FileHash “C:\path\suspect.exe” -Algorithm SHA256 Get-AuthenticodeSignature “C:\path\suspect.exe”

Linux｜从资源异常回到 /proc 与连接 ps -eo pid,ppid,user,lstart,%cpu,%mem,args –sort=-%cpu |   head -30 ss -plant readlink -f /proc/PID/exe tr ‘\0’ ‘ ‘ < /proc/PID/cmdline ls -l /proc/PID/fd sha256sum /proc/PID/exe

重点不是看到 xmrig、cpuminer 之类名称，而是建立 PID → PPID → 用户/会话 → 可执行路径 → 命令行 → 远端地址的映射。矿工可被改名，连接也可经 TLS、HTTP、DNS over HTTPS 或中继代理转发。Windows 可用 Process Explorer 查看树、签名与句柄，TCPView 将端点映射到进程；使用前应从可信来源取得工具。

03  第二跳：锁定载荷、配置与收益线索

记录文件完整路径、大小、创建/修改时间、所有者、ACL、数字签名、SHA-256、PE/ELF 类型和编译特征；从命令行、同目录配置、内存字符串、脚本和容器环境变量中寻找矿池域名、代理地址、钱包/Worker ID、线程数和占用率参数。钱包与矿池账号可用于聚类同源主机，但不能单独证明攻击者现实身份；共享矿池、代理、VPN、CDN 和被盗账号都会造成误归因。

判断标准｜“矿工文件 + 矿池连接”可以确认挖矿；“矿工 + 持久化”可以确认驻留机制；只有找到漏洞利用、异常登录、密钥滥用或暴露接口证据，才能下初始入口结论。

04  第三跳：沿启动链查持久化

从矿工父进程反查是谁拉起它，再横向检查自动启动位置。Windows 重点看计划任务、自动服务、WMI 永久事件订阅、Run/RunOnce、启动目录、PowerShell 配置与驱动；Autoruns 能覆盖大量自动启动位置，并支持隐藏已签名的 Microsoft 项以聚焦第三方条目。 Linux 重点看 systemd、cron、rc.local、用户 shell 配置、SSH authorized_keys、LD_PRELOAD、内核模块和被替换的系统命令。

持久化快查｜先导出，再决定是否禁用 Windows: Get-ScheduledTask Windows: Get-CimInstance Win32_Service Windows: Get-CimInstance -Namespace root/subscription `          -Class __EventFilter Linux: systemctl list-unit-files –state=enabled Linux: find /etc/cron* /var/spool/cron -type f -ls 2>/dev/null Linux: find /home /root -path “*/.ssh/authorized_keys” -type f -ls 2>/dev/null

05  第四跳：还原初始入口与横向移动

以矿工最早启动时间为 T0，至少向前回看 24～72 小时，并统一为 UTC。Windows 关联 Security 4624（登录）、4688（进程，需预先启用审计）、4698（计划任务）、System 7045（服务安装）、PowerShell 4104 和 Sysmon 1/3/22；Linux 关联 auth.log/secure、journal、auditd、Web/中间件访问日志、SSH key 变更及 shell 历史。注意文件时间可被篡改，必须由多源日志交叉确认。

Windows｜围绕 T0 提取关键事件 $t=(Get-Date).AddDays(-3) Get-WinEvent -FilterHashtable @{   LogName=’Security’; Id=4624,4688,4698; StartTime=$t } Get-WinEvent -FilterHashtable @{   LogName=’System’; Id=7045; StartTime=$t } Get-WinEvent -FilterHashtable @{   LogName=’Microsoft-Windows-PowerShell/Operational’;   Id=4104; StartTime=$t }

入口优先排查暴露的 RDP/SSH、Docker API、Kubernetes 控制面、Redis/Jenkins 等管理接口，Web 漏洞与弱口令，以及被盗的云密钥、令牌和高权限账号。随后用同一 Hash、域名、钱包、命令行、创建账户和来源 IP 在全网检索，确认是否存在 SSH/RDP/SMB/WinRM 横向、凭据搜集或同批任务。根因必须落到“哪个身份或服务、通过什么路径、在什么时间获得了什么权限”。

06  容器与云：不要只查宿主机

容器环境要检查异常镜像、启动命令、挂载、特权模式、Docker Socket、Kubernetes Job/CronJob、ServiceAccount 与新建命名空间；云环境要检查控制面审计、登录风险、角色提升、API 密钥/令牌创建、陌生区域实例、Spot/GPU 资源、自动化模板和账单突增。MITRE 将“新容器后立即高负载”“罕用区域新实例与 CPU 突增”列为关键行为；Microsoft 也指出云挖矿常从被盗且权限过大的合法身份开始。

容器｜建立镜像、命令、控制器与网络关系 docker ps –no-trunc; docker inspect CONTAINER_ID kubectl get pods,jobs,cronjobs -A -o wide kubectl describe pod POD -n NAMESPACE kubectl get rolebindings,clusterrolebindings -A

图 3｜证据阶梯：从资源异常上升到根因与影响边界

07  重建时间线，给出有置信度的结论

时间线至少包含：首次异常登录/漏洞请求、下载与落地、首次执行、持久化创建、矿池连接、横向行为、云资源创建、告警与处置。每条记录注明时间源、主机、用户、PID、对象、证据文件和 Hash。结论分为“已确认、较大概率、尚无证据”，避免把推测写成事实。若只能确认矿工而不能确认入口，应明确写“根因未闭环”，继续扩大日志窗口或转入内存/磁盘取证。

归因边界｜IP、域名、钱包和矿池 Worker 适合做基础设施关联，不足以单独归因到个人、国家或攻击组织。高质量报告应区分：技术事实、分析推断和未知项。

08  清除、恢复与验证：以“不再复发”为结束标准

证据保全后再阻断矿池/代理、禁用持久化、隔离或重装失陷主机，修补漏洞，轮换受影响密码、SSH key、API key 与云令牌，回收过度权限并清理异常实例/容器。恢复后持续观察 7～14 天：无同源 Hash/域名/钱包、无任务或服务重建、无异常登录与角色变更、CPU 和账单回归基线。若 rootkit、内核模块、身份系统或多台主机失陷，重装与凭据全量轮换通常比“手工删净”更可靠。

一句话总结｜挖矿病毒手动溯源的最佳实践，是以可疑进程为起点，以时间线为骨架，以多源证据为约束，一直追到初始入口、持久化机制、扩散范围和收益基础设施。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：ITPAPA ITPAPA ITPAPA《挖矿病毒人工溯源最佳实践》