伴随数字加密货币在全球市场上持续火爆，挖矿木马的数量也急剧增加。近日，腾讯安全反病毒实验室结合自身的安全大数据，对挖矿木马的类型、传播方式、攻击特征进行了全面的分析，并就如何抵御挖矿木马的攻击给出了专业建议。

首部币圈大数据出炉 国内挖矿木马最爱门罗币

据了解，挖矿木马主要以PC客户端和网页脚本的形式存在，悄悄潜入用户的电脑中，定时启动挖矿程序进行计算，大量消耗用户电脑资源，导致用户电脑异常发热、性能变低，运行速度变慢，使用寿命变短等等。

经过对近期发现的挖矿木马进行大数据分析，腾讯安全反病毒实验室指出，挖矿木马在挖矿过程中使用的进程名称通常对应着系统文件，这是由于挖矿木马以进程注入的方式使用系统文件作为进程傀儡来进行挖矿。例如排名第一位的进程名conhost在很多情况下对应着系统的记事本程序notepad.exe，其他的进程名如EthDcrMiner64、minerd 、xig、ETHSC、xmrig等都为标准的挖矿木马。

(图：挖矿木马对应的进程名)

腾讯安全反病毒实验室使用其自研的哈勃分析系统对挖矿木马的工作进程进行了分析，并统计了这些挖矿木马所连接的矿池地址，发现国内挖矿用户最喜爱使用的矿池地址为pool.minexmr.com，其对应挖取的币种为门罗币。

值得关注的是，最受挖矿木马偏爱的币种为门罗币，其次分别是以太币、比特币钻石、狗狗币、超级现金，其他币种非常少见。虽然比特币名声在外，然而直接挖比特币的病毒木马却很少，原因或在于比特币挖矿难度太高，不如挖更容易得到的门罗币来钱快。

(图：国内挖矿木马活跃矿池地址)

通常情况下，用户可通过端口辅助判断计算机是否有挖矿行为。腾讯安全反病毒实验室将挖矿木马的矿池地址对应的端口号进行统计，数据显示3333端口为挖矿木马最爱使用的端口，约占所有挖矿矿池连接端口的12%。从端口区间上看，3000-3999之间的端口是挖矿木马最常使用的端口范围，该区间的端口占挖矿端口的38.7%。

(图：挖矿木马矿池对应端口占比)

　　挖矿木马盯上企业用户 腾讯御界高级威胁监测系统全面防御

从传播方式上看，腾讯安全反病毒实验室发现，除部分利用MS17-010传播的挖矿木马蠕虫及软件绑架传播外，大多数挖矿木马更喜欢使用基于Web端的远程代码执行漏洞进行主机扫描，漏洞利用成功后向受害主机投放挖矿木马。

对此，腾讯企业安全技术专家建议，个人用户应确保系统及时更新，使用腾讯电脑管家安装最新的安全补丁修复已知的安全漏洞，可以很大程度上降低风险;企业用户需及时打好服务器操作系统、Web服务端、开放的服务的补丁，可抵挡黑客基于扫描的漏洞利用传播挖矿木马的攻击。

腾讯企业安全技术专家指出，无论采取何种传播方式，黑客的挖矿收益取决于被攻击的受害主机的数量与性能，因此企业用户更容易成为不法分子的攻击目标。腾讯安全针对企业用户推出的御界高级威胁检测系统(http://s.tencent.com/product/gjwxjc/index.html)，是基于腾讯安全反病毒实验室的安全能力、依托腾讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统。通过对企业内外网边界处网络流量的分析，可及时感知到挖矿木马的利用和攻击，有效保护企业网络安全。

(图：腾讯御界高级威胁监测系统)

面对不断肆虐的挖矿木马，腾讯企业安全技术专家表示，企业及个人用户日常应养成良好的电脑使用习惯，加强网络安全防范意识：使用强密码保护服务器账户;不访问被标记为高风险的恶意网站，不随意打开来源不明的文件和可疑链接;对于可疑文件可使用腾讯电脑管家等安全软件进行扫描，或者将文件上传哈勃分析系统(https://habo.qq.com/)查看文件是否存在风险。此外，腾讯电脑管家“反挖矿防护”功能已覆盖全版本用户，可实时拦截并预警各类挖矿木马程序和含有挖矿js脚本网页的运行，确保用户电脑资源不被侵占，拥有轻快的上网体验。