什么是加密劫持（Cryptojacking）以及它如何运作？

2023 年，加密劫持（cryptojacking）出现惊人激增，打破了 2022 年的纪录。到 2023 年 4 月初，加密劫持事件总数已超过前一年的总和。

SonicWall Capture Labs 的研究人员记录了全年 10.6 亿美元的加密劫持事件，较 2022 年激增 659%。

这一激增并非局限于特定地区，全球几乎每个地区都经历了三位数或四位数的加密劫持事件增长。

让我们深入探讨这个话题，了解加密劫持到底是什么，以及为什么它已成为加密社区的紧迫问题。

加密劫持的含义：什么是加密劫持？

加密劫持，也称为恶意加密挖矿或加密挖矿恶意软件，是一种网络攻击形式，黑客劫持受害者的计算资源，在未经同意的情况下挖取加密货币。

攻击通常涉及在受害者的设备（如计算机、智能手机或服务器）上安装恶意软件，然后在后台运行，利用受害者的处理能力和能源资源来挖取加密货币。

加密劫持的关键特征之一是其隐蔽性。与要求支付赎金的勒索软件攻击不同，加密劫持往往不会被受害者察觉，因为其目标是隐蔽地挖取加密货币，而不让受害者发现恶意软件的存在。

加密劫持攻击可以针对个人用户，也针对组织和企业。在某些情况下，攻击者已针对高知名度网站，将恶意代码注入网站代码，利用访问者设备的计算资源挖取加密货币。

加密劫持的兴起得益于加密货币日益流行和价值上涨，这使得挖取它们对攻击者而言成为有利可图的任务。

此外，专为使用普通设备处理能力挖取而设计的加密货币（如 Monero）的兴起，使攻击者更容易从攻击中获利。

图示：加密劫持如何运作

加密劫持的类型

加密劫持可以采取几种形式，每种都有自己的方法和对受害者的影响。让我们了解其主要类型：

浏览器型加密劫持：这种形式的加密劫持发生在用户访问被恶意代码入侵的网站时。该代码（通常为 JavaScript）在用户网页浏览器的后台运行，用户毫不知情。它随后利用用户设备的计算资源挖取加密货币。由于这种类型的加密劫持不需要安装任何软件，因此可能难以检测。浏览器型加密劫持可能导致 CPU 使用率增加，从而使设备变慢或过热。

文件型加密劫持：在这种攻击中，攻击者分发恶意文件（如电子邮件附件或可下载文件），其中包含加密劫持恶意软件。当受害者执行该文件时，恶意软件会安装在他们的设备上。一旦安装，恶意软件就会使用设备的资源挖取加密货币。文件型加密劫持可能比浏览器型加密劫持更具破坏性，因为它可能导致持久性恶意软件的安装，即使在初始感染后仍继续挖取加密货币。

云加密劫持：这种形式的加密劫持针对云基础设施，如云服务器或容器。攻击者利用云基础设施中的漏洞获取未经授权的访问权限，并安装加密劫持恶意软件。一旦安装，恶意软件就会使用云提供商的资源挖取加密货币。云加密劫持可能特别具有破坏性，因为它可能导致云提供商及其客户遭受重大财务损失。它还可能影响受影响云服务的性能。

加密劫持案例

以下是一些加密劫持被恶意使用的实例：

Coinhive：Coinhive 是浏览器型加密劫持中最臭名昭著的例子之一。它提供了一个 JavaScript 挖矿程序，网站所有者可以将其嵌入网站中来挖取 Monero。然而，许多网站所有者在未告知访问者或获得同意的情况下使用它，导致广泛投诉，并最终于 2019 年初关闭 Coinhive。

WannaMine：WannaMine 是一种针对 Windows 系统的文件型加密劫持恶意软件。它通过网络钓鱼电子邮件和恶意附件传播，利用 Windows 操作系统的漏洞将自己安装到受害者的计算机上。一旦安装，WannaMine 就会使用受感染的计算机挖取加密货币，导致性能问题，并可能损坏受影响的系统。

Docker Hub 加密劫持：2018 年，研究人员发现攻击者向 Docker Hub（一个流行的 Docker 容器镜像存储库）上传了恶意 Docker 容器镜像。这些镜像包含加密劫持恶意软件，利用运行受感染容器的任何系统的资源。该事件凸显了使用第三方容器镜像的安全风险，以及在使用前验证镜像完整性的重要性。

基于 Android 的加密劫持应用：Google Play 商店中已发现多起加密劫持应用。这些应用声称提供合法服务，但秘密在后台挖取加密货币，耗尽设备电池并消耗其资源。Google 已采取措施检测并从 Play 商店中移除此类应用，但威胁依然存在。

特斯拉云加密劫持事件：2018 年，特斯拉的云基础设施被攻击者入侵，他们安装了加密劫持恶意软件。攻击者利用未受保护的 Kubernetes 控制台获取对特斯拉亚马逊网络服务（AWS）环境的访问权限，并在其中部署恶意软件挖取加密货币。特斯拉迅速解决了该问题，并采取措施加强其云基础设施的安全性。

图示：加密劫持攻击流程

如何检测加密劫持？

检测加密劫持可能具有挑战性，因为攻击者经常使用策略来逃避检测。然而，有几个迹象可以表明设备或系统已被入侵：

CPU 使用率增加：加密劫持恶意软件消耗大量 CPU 资源，可能导致受影响设备变慢或无响应。通过任务管理器或系统监控工具监控 CPU 使用率，可以帮助你检测 CPU 使用率的异常峰值。
过热：加密劫持可能导致设备过热，尤其是当恶意软件使用大量 CPU 功率时。监控设备温度可以帮助识别是否正在被用于加密劫持。
能源消耗增加：加密劫持恶意软件使用大量能源来挖取加密货币，因此 unusually 高额的电费账单可能是加密劫持活动的迹象。
异常网络流量：加密劫持恶意软件与外部服务器通信以接收指令并发送挖取的加密货币。监控网络流量以查找异常模式或与挖矿池的连接，可以表明加密劫持活动。
反恶意软件警报：一些反恶意软件软件可以检测并提醒你加密劫持恶意软件的存在。定期更新并运行反恶意软件扫描可以帮助检测和移除加密劫持恶意软件。
浏览器扩展：浏览器扩展可用于检测和阻止网站上的加密劫持脚本。像 NoCoin 和 MinerBlock 这样的扩展可以帮助防范浏览器型加密劫持。