黑客是如何利用你的浏览器进行挖矿的？
字数 2059 2025-08-18 11:37:19

浏览器挖矿木马技术分析与防御指南

1. 概述

浏览器挖矿木马是一种资源盗用攻击方式，黑客通过在网站中植入恶意JavaScript代码，利用访问者的浏览器CPU资源进行加密货币挖矿。这种攻击方式具有传播面广、经济效益高的特点，深受黑产团体青睐。

2. 关键概念解析

2.1 区块链相关术语

  • 区块：承载交易数据的数据包，包含时间戳和前一个区块的标记，通过哈希运算生成工作量证明
  • 区块链：按时间序列将数据区块连接成的链式数据结构，具有不可篡改特性
  • 矿机：用于挖矿的计算机，通常配备专业挖矿芯片，耗电量大
  • 矿池：多个矿机联合挖矿以提高成功率，按算力比例分配奖励
  • 挖矿：通过哈希计算寻找符合工作证明条件的随机数以构建新区块
  • 钱包：保存数字货币地址和私钥的软件

2.2 浏览器挖矿原理

攻击者在网页中嵌入JavaScript挖矿代码，当用户访问该网页时，代码自动执行并利用用户CPU资源进行加密货币挖矿运算，用户成为"僵尸矿机"而不自知。

3. 主要挖矿木马家族分析

3.1 Coinhive家族

  • 特点：最早的JS挖矿引擎之一，CPU占用极高(可达100%)
  • 检测方法：
    • 查看浏览器任务管理器(Shift+ESC)
    • 观察CPU使用率异常飙升
  • 代码特征：包含coinhive.com/lib引用

3.2 JSEcoin家族

  • 特点：
    • CPU使用率限制在15-25%
    • 提供隐私声明和退出选项
  • 通信方式：使用WSS协议获取计算任务并回传结果
  • 检测方法：监控WebSocket连接和持续运算任务

3.3 CryptoLoot家族

  • 特点：
    • 佣金比Coinhive低
    • 支持线程数、节流等参数配置
  • 关键参数：
    • threads(value)：设置挖矿线程数
    • autoThreads(true/false)：自动检测CPU核心
    • throttle(value)：设置线程闲置比例

3.4 DeepMiner家族

  • 特点：开源项目修改而来
  • 代码来源：基于GitHub上的deepMiner项目
  • 检测方法：比对开源项目代码特征

3.5 Webmine家族

  • 特点：访问时CPU剧增，退出后立即下降
  • 检测方法：实时监控CPU使用率变化

3.6 AuthedMine家族

  • 改进点：
    1. 设置线程闲置时间比例(不易被发现)
    2. 仅针对非移动设备挖矿
    3. 限制挖矿时间为4小时
  • 检测方法：检查设备类型判断逻辑和定时器设置

3.7 BrowserMine家族

  • 特点：类似DeepMiner
  • 检测方法：分析JS执行前后资源占用变化

3.8 Coinimp家族

  • 特点：
    • 平台费用基本免费
    • 脚本可本地存储，伪装性高
    • SiteKey扩展为64位
  • 检测方法：检查本地存储的JS文件和长SiteKey

3.9 CryptoWebMiner家族

  • 特点：
    • 支持多种币种(BTC、ETH、ZEC、ETN、XMR)
    • 支持多平台(手机、PC、WEB)
  • 检测方法：监控多币种挖矿行为

3.10 PPoi家族

  • 现状：已被Google安全浏览(Google GSB)列入黑名单
  • 检测方法：参考安全厂商黑名单

4. 全球感染情况统计

4.1 全球感染量

  • 全球被感染Web应用：60,742,892个
  • 中国境内被感染Web应用：4,557,546个

4.2 地域分布

(具体TOP10地域数据需参考FOFA平台最新统计数据)

5. 防御措施与建议

5.1 网站管理员防护

  1. 定期备份：确保服务器数据定期备份
  2. 代码审计：
    • 定期检查网站代码
    • 特别关注上述10类挖矿脚本特征
  3. 安全加固：
    • 发现后门或恶意代码后全局排查清理
    • 及时修复已知漏洞
  4. 主动评估：定期进行安全评估，发现潜在风险

5.2 终端用户防护

  1. 浏览器扩展：
    • 安装NoCoin等反挖矿扩展
    • 使用脚本拦截工具(如uBlock Origin)
  2. 行为监控：
    • 定期检查浏览器任务管理器
    • 关注异常CPU使用情况
  3. 安全设置：
    • 禁用不必要的JavaScript执行
    • 使用隐私浏览模式
  4. 保持更新：确保浏览器和操作系统为最新版本

5.3 企业级防护

  1. 网络层防护：
    • 部署入侵检测/防御系统(IDS/IPS)
    • 配置Web应用防火墙(WAF)规则
  2. 终端防护：
    • 部署端点检测与响应(EDR)解决方案
    • 监控异常网络连接和CPU使用
  3. 安全意识培训：教育员工识别可疑网站和行为

6. 应急响应指南

  1. 确认感染：
    • 检查服务器日志和文件修改时间
    • 扫描网站目录中的可疑JS文件
  2. 清除恶意代码：
    • 删除确认的挖矿脚本
    • 检查所有可能被篡改的文件
  3. 修复漏洞：
    • 确定入侵途径并修补漏洞
    • 更改所有相关凭据
  4. 持续监控：
    • 部署持续监控解决方案
    • 设置异常行为告警

7. 总结

浏览器挖矿木马已成为当前网络安全的重要威胁之一，其利用方式隐蔽，经济回报高，导致黑产团体广泛采用。通过了解其工作原理、主要家族特征和防御措施，可以有效降低被攻击风险。建议网站管理员和终端用户采取多层次防护策略，定期进行安全检查，确保网络环境安全。

浏览器挖矿木马技术分析与防御指南 1. 概述 浏览器挖矿木马是一种资源盗用攻击方式，黑客通过在网站中植入恶意JavaScript代码，利用访问者的浏览器CPU资源进行加密货币挖矿。这种攻击方式具有传播面广、经济效益高的特点，深受黑产团体青睐。 2. 关键概念解析 2.1 区块链相关术语 区块 ：承载交易数据的数据包，包含时间戳和前一个区块的标记，通过哈希运算生成工作量证明 区块链 ：按时间序列将数据区块连接成的链式数据结构，具有不可篡改特性 矿机 ：用于挖矿的计算机，通常配备专业挖矿芯片，耗电量大 矿池 ：多个矿机联合挖矿以提高成功率，按算力比例分配奖励 挖矿 ：通过哈希计算寻找符合工作证明条件的随机数以构建新区块 钱包 ：保存数字货币地址和私钥的软件 2.2 浏览器挖矿原理 攻击者在网页中嵌入JavaScript挖矿代码，当用户访问该网页时，代码自动执行并利用用户CPU资源进行加密货币挖矿运算，用户成为"僵尸矿机"而不自知。 3. 主要挖矿木马家族分析 3.1 Coinhive家族 特点 ：最早的JS挖矿引擎之一，CPU占用极高(可达100%) 检测方法 ： 查看浏览器任务管理器(Shift+ESC) 观察CPU使用率异常飙升 代码特征 ：包含 coinhive.com/lib 引用 3.2 JSEcoin家族 特点 ： CPU使用率限制在15-25% 提供隐私声明和退出选项 通信方式 ：使用WSS协议获取计算任务并回传结果 检测方法 ：监控WebSocket连接和持续运算任务 3.3 CryptoLoot家族 特点 ： 佣金比Coinhive低 支持线程数、节流等参数配置 关键参数 ： threads(value) ：设置挖矿线程数 autoThreads(true/false) ：自动检测CPU核心 throttle(value) ：设置线程闲置比例 3.4 DeepMiner家族 特点 ：开源项目修改而来 代码来源 ：基于GitHub上的deepMiner项目 检测方法 ：比对开源项目代码特征 3.5 Webmine家族 特点 ：访问时CPU剧增，退出后立即下降 检测方法 ：实时监控CPU使用率变化 3.6 AuthedMine家族 改进点 ： 设置线程闲置时间比例(不易被发现) 仅针对非移动设备挖矿 限制挖矿时间为4小时 检测方法 ：检查设备类型判断逻辑和定时器设置 3.7 BrowserMine家族 特点 ：类似DeepMiner 检测方法 ：分析JS执行前后资源占用变化 3.8 Coinimp家族 特点 ： 平台费用基本免费 脚本可本地存储，伪装性高 SiteKey扩展为64位 检测方法 ：检查本地存储的JS文件和长SiteKey 3.9 CryptoWebMiner家族 特点 ： 支持多种币种(BTC、ETH、ZEC、ETN、XMR) 支持多平台(手机、PC、WEB) 检测方法 ：监控多币种挖矿行为 3.10 PPoi家族 现状 ：已被Google安全浏览(Google GSB)列入黑名单 检测方法 ：参考安全厂商黑名单 4. 全球感染情况统计 4.1 全球感染量 全球被感染Web应用：60,742,892个 中国境内被感染Web应用：4,557,546个 4.2 地域分布 (具体TOP10地域数据需参考FOFA平台最新统计数据) 5. 防御措施与建议 5.1 网站管理员防护 定期备份 ：确保服务器数据定期备份 代码审计 ： 定期检查网站代码 特别关注上述10类挖矿脚本特征 安全加固 ： 发现后门或恶意代码后全局排查清理 及时修复已知漏洞 主动评估 ：定期进行安全评估，发现潜在风险 5.2 终端用户防护 浏览器扩展 ： 安装NoCoin等反挖矿扩展 使用脚本拦截工具(如uBlock Origin) 行为监控 ： 定期检查浏览器任务管理器 关注异常CPU使用情况 安全设置 ： 禁用不必要的JavaScript执行 使用隐私浏览模式 保持更新 ：确保浏览器和操作系统为最新版本 5.3 企业级防护 网络层防护 ： 部署入侵检测/防御系统(IDS/IPS) 配置Web应用防火墙(WAF)规则 终端防护 ： 部署端点检测与响应(EDR)解决方案 监控异常网络连接和CPU使用 安全意识培训 ：教育员工识别可疑网站和行为 6. 应急响应指南 确认感染 ： 检查服务器日志和文件修改时间 扫描网站目录中的可疑JS文件 清除恶意代码 ： 删除确认的挖矿脚本 检查所有可能被篡改的文件 修复漏洞 ： 确定入侵途径并修补漏洞 更改所有相关凭据 持续监控 ： 部署持续监控解决方案 设置异常行为告警 7. 总结 浏览器挖矿木马已成为当前网络安全的重要威胁之一，其利用方式隐蔽，经济回报高，导致黑产团体广泛采用。通过了解其工作原理、主要家族特征和防御措施，可以有效降低被攻击风险。建议网站管理员和终端用户采取多层次防护策略，定期进行安全检查，确保网络环境安全。