互联网的虚拟货币，如比特币（BTC）、门罗币（XMR）等，是一种由开源的P2P软件产生的网络电子虚拟货币。主要用于互联网金融投资，也可以作为新式货币直接在生活中使用。

比特币挖矿机是获取比特币的方式之一，挖矿机工作要让显卡长时间满载，功耗会相当高，电费开支也会越来越高。由于挖矿成本过于高昂，一些不法分子通过各种手段将矿机程序植入受害者的计算机中，利用受害者计算机的运算力进行挖矿，从而获取非法收益。这类非法侵入用户计算机的矿机程序被称作挖矿木马。

挖矿木马进行超频运算时占用大量CPU资源，导致计算机上其他应用无法正常运行。不法分子为了使用更多算力资源，一般会对全网主机进行漏洞扫描、SSH爆破等攻击手段。部分挖矿木马还具备横向传播的特点，在成功入侵一台主机后，尝试对内网其他机器进行蠕虫式的横向渗透，并在被入侵的机器上持久化驻留，长期利用机器挖矿获利。

经过多年的演进，越来越多的挖矿木马利用多种方式入侵系统，意图感染更多的机器，提高挖矿的效率和收益，其中主要入侵方式如下：

1、漏洞利用：利用系统漏洞快速获取相关服务器权限，植入挖矿木马是目前最为普遍的传播方式之一。常见的漏洞包括Windows系统漏洞、服务器组件插件漏洞、中间件漏洞、web漏洞等。

部分攻击者选择直接利用永恒之蓝漏洞，降低了利用漏洞攻击的难度，提高了挖矿木马的传播能力。例如传播较广的WannaMine挖矿家族，利用了永恒之蓝漏洞在内网蠕虫式传播，给不少公司和机构带来巨大损失。

2、弱口令：弱口令指的是仅包含简单口令、有规律的键盘组合或历次泄漏过的密码，例如“qwe123”、“666666”及“p@ssw0rd”等，攻击者通常会针对redis、ssh、3389、mssql、IPC$等服务进行爆破弱口令攻击。爆破成功后，尝试获取系统权限，植入挖矿木马并设置持久化。

3、伪装正常软件：攻击者将挖矿木马伪装为游戏软件、娱乐社交软件、安全软件、游戏外挂等进行传播，欺骗用户下载并执行。由于多数游戏对显卡、CPU等硬件性能要求较高，故挖矿木马通常伪装成游戏辅助外挂，通过社交群、网盘等渠道传播，感染大量机器。

挖矿木马有很多控制机器挖矿的方式，主要分为三种：

1、可执行文件：存储在机器上的典型恶意程序，通常通过设置计划任务或修改注册表项实现持久化，长期进行加密货币的挖矿作业。

2、基于浏览器的挖矿木马：使用JavaScript（或类似技术）的挖矿木马是在浏览器中执行。只要浏览器打开被植入挖矿木马的网站，就会执行挖矿执行，持续消耗资源。

3、无文件挖矿木马：利用如PowerShell等合法工具在机器的内存中执行挖矿作业，具有不落地、难检测等特点。

挖矿木马能在各种平台上运行，包括：

• Windows

• Mac

• Linux

• Android

• 物联网（IoT）设备