被劫持的是哪种资源？
挖矿劫持是未经授权使用他人的计算资源获取加密货币收益。资源可能位于终端、浏览器环境、服务器、容器或云实例；受害者承担性能和资源成本。它属于计算资源滥用的一类，并非所有计算资源滥用都在挖矿。[2][1]
015 / 恶意软件与攻击 / Cryptojacking
风扇转得很快，是谁在用这些算力？
挖矿劫持 · Cryptojacking
视频转码会让 CPU 忙碌，未经授权的挖矿也会。关闭一个页面后负载降低，是工作结束，还是恶意任务暂时停下？把业务授权、进程来源、外联和后续观察放在一起，才有条件判断。
开始探索 ↓8–11 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
云端服务器和多张显卡持续工作，角色收走金币，桌前用户看到等待画面和上升曲线。画面比喻算力与费用被滥用；金币上的符号不限定币种，GPU 也不是必要条件，更不能凭负载曲线单独确认感染。
本课任务 / 挖矿劫持
从算力异常建立证据链，区分合法工作、暂时止住的任务与仍会复发的失陷。
- 说明挖矿劫持的未经授权资源使用
- 用多类证据区分高负载与恶意挖矿
- 比较停止活动、清理持久化和修复入口
亲手探索 / 不同条件，不同结果
同样是高负载，三份证据包会导向不同处置。
比较合法转码、未经授权的页面计算和宿主持久化的虚构记录，查看负载、进程与外联线索。尝试关闭页面、结束进程或教学可信清理，再推进观察，检查活动是否重现。不会扫描设备或真正运行挖矿程序。
安全运营工作台 · 封闭离线模型
高负载只是线索，复发暴露了什么？
同样的虚构 CPU 读数，可能来自正常任务、页面挖矿或后台持久化。先收集证据，再比较关闭页面、隔离、停止与清理的不同结果。
- CPU 线索
- 92%（虚构读数）
- 任务归属与授权
- 待收集当前证据
- 外联证据
- 待收集当前证据
- 持久化证据
- 待收集当前证据
观察轮次：0；页面：打开；连接：连接；已知入口清理：未执行。
尚未检查当前条件。修改选择会清除旧结论；保留的状态可在工作台查看。
证据都是预设教学记录，不是检测器。隔离不会在本例中终止 CPU 计算；真实响应应按组织流程保全证据、确认影响范围并验证恢复。没有复发不等于证明绝无其他感染。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
先核对任务是否获准
合法转码有业务目的、负责人和对应进程；仅因高负载就清理，可能中断正常工作。实验把授权记录与技术线索并列，要求先解释为何可疑。未知不等于恶意，但无法核实来源时也不能仅凭一个熟悉的进程名称放行。[3][2]
02 / 实用细节
把进程、网络与账单串成时间线
检查资源增长是否与异常进程、外联或新增实例同时出现。云环境还需要核对谁创建了资源、在哪个账户或区域运行。费用告警能提示偏差，却不直接识别原因；本例的负载数字用于比较情境，不是现实感染判定阈值。[4][2]
03 / 实用细节
浏览器页面和后台执行不是同一边界
关闭页面只能停止依赖该页面继续运行的活动，不能保证扩展后台任务、其他页面或宿主进程都停止。本实验专门比较动作后的状态，再推进观察；不要把一次界面消失或短暂降温误读为终端已经恢复可信。[1][2]
04 / 实用细节
止住活动时，也要保全调查线索
按事件流程限制不应有的联网或资源使用，同时保留必要日志与状态证据。是否停止、隔离或替换实例要考虑业务和证据需求。课堂的一键动作只表示已准备好的处置组合，不提供适用于所有系统的真实执行命令。[5][6]
05 / 实用细节
清理要覆盖再次启动与入侵入口
查明恶意任务如何进入、如何再次启动，处理不必要暴露与过大的权限，并按可信恢复流程替换或修复受影响环境。若凭据受影响，还需按流程处理它们；仅删除一个进程文件或封掉一个外联地址，无法证明其他后门都不存在。[5][4]
06 / 实用细节
恢复后继续检查资源与业务
重新接入后确认业务功能、资源使用及预期外联，再检查是否有同类异常。看不到复发只说明本次观察未发现它，不能证明所有时间、所有资产都安全。挖矿活动还可能与其他失陷行为并存，调查范围不应只剩下一张 CPU 图。[5][1]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
服务器持续高负载、连接矿池且费用突增，最该排查？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- MITRE ATT&CK · Resource Hijacking ↗
资源滥用范围与终端、云等执行情境
- MITRE ATT&CK · Compute Hijacking ↗
算力挖矿、持久化进程、容器和云资源异常的行为线索
- AWS · GuardDuty EC2 Finding Types ↗
加密货币外联检测与预期业务活动的区分；AWS 产品示例
- AWS Security Blog · Detecting and Preventing Crypto Mining ↗
云算力滥用检测、权限、监测与防护；AWS 环境示例
- AWS · Remediating a Potentially Compromised EC2 Instance ↗
隔离、调查、停止未授权活动与可信替换；不代表通用终端清理步骤
- AWS Security Incident Response · Contain ↗
限制进一步影响时保留证据，并继续调查与恢复；AWS 服务示例
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。