錢包只在礦工活著時看得到： 從記憶體與封包挖出攻擊者的收款帳號

知道它在挖礦之後，下一個問題是：挖給誰？

礦工要領獎勵，一定得在登入礦池時報上自己的錢包位址與 worker 名稱。順著那條連往 3333 埠的連線往回追，就能挖出攻擊者的收款帳號。關鍵在於一個事實：

四種取證途徑，依可靠度排序

| 途徑 | 做法 | 可靠度 | 限制 | |---|---|---|---| | ① Dump 礦工記憶體 | 由 /proc/PID/mem 逐段讀出、抽字串、比對錢包格式 | 最高 | 礦工必須在跑 | | ② 抓 Stratum 登入封包 | tcpdump 監聽，主動切斷連線逼礦工重連，擷取明文 login | 高 | 礦池若走 TLS 則不可行 | | ③ 挖磁碟上的設定檔 | 掛載 snapshot 找 config.json 的 user 欄 | 中 | 設定可能編進 binary 或被 rootkit 藏起 | | ④ 礦池 IP 威脅情資 | 反查礦池 IP 的被通報紀錄 | 定性用 | 查不到個別錢包 |

方法 ①：從 /proc 抽錢包字串

# 先由礦池連線反查礦工 PID（ss 較不易被 rootkit 攔截）
$ P=$(sudo ss -tnp | grep :3333 | grep -oE 'pid=[0-9]+' | cut -d= -f2)

# 逐段 dump 可讀記憶體 → 抽字串 → 比對礦池／錢包特徵
$ sudo dd if=/proc/$P/mem ... | strings -n5 | grep -aiE \
  "stratum|xmrig|randomx|pool\.|rig_id|\"user\"|4[0-9AB][0-9A-Za-z]{62,105}"

# 門羅幣主網位址 = 95 碼 Base58，以 4 開頭（整合式以 8 開頭）。

方法 ②：逼重連，抓 Stratum login

$ sudo tcpdump -i any -n -A 'tcp port 3333' -w /tmp/m.pcap &

# 切斷礦工目前連線，xmrig 會立刻重連並重送登入
$ sudo ss -K dst 141.94.96.71 dport = 3333

$ sudo tcpdump -r /tmp/m.pcap -A | grep -iE 'login|authorize|user'
# 典型 payload：method=login, params.login=<錢包>, params.pass=<worker>

本案實際戰果：三路互證

主機重開機後礦工被 @reboot 拉起、重新連上礦池。趁它活著，方法 ① 與 ② 同時採集：

// ① 礦工記憶體裡的 xmrig 設定 JSON
"user": "47qQHFXfGixiVEjwPNaVpQ8LJ6p8xNPHLjWKZC86us4WfhxacyXivPAGoThcgbwUaiAi4CjveFdsMLEYEUMhhrLA4nrCgHe",
"pass": "C4", "rig-id": null, "worker-id": null

// ② 逼重連後 tcpdump 抓到的 Stratum 登入封包（明文）
{"method":"login","params":{
  "login":"47qQHFXfGixiVEjwPNaVpQ8LJ6...LA4nrCgHe",
  "pass":"C4",
  "agent":"XMRig/6.22.2 (Linux x86_64) libuv/1.49.2 gcc/7.5.0"}}

// 礦池回派 job → 證實正在挖（algo rx/0 = RandomX = Monero）
{"method":"job","params":{"algo":"rx/0","height":3762742, ...}}

| 項目 | 值 | |---|---| | 幣種／演算法 | Monero (XMR) · rx/0 RandomX | | 礦工版本 | XMRig 6.22.2 | | 攻擊者錢包 | 47qQHF…CgHe（完整值見 IOC 對照表） | | Worker 代號（pass） | C4 | | 主礦池 | 141.94.96.71 · :3333 / 443 / 5555 | | 備援礦池 | mine.c3pool.com:13333 · pool.supportxmr.com:5555 · wixerzhongboost.eu:5555 · 77.221.157.206:6196 |

這次外洩了什麼

這一篇處理的是攻擊端的憑證：他用來領錢的那組識別。它跟我們的金鑰一樣有「服務、用途、存在形式」，只是擁有者是他。

拿到錢包之後：不查區塊鏈，查礦池

門羅幣有隱私設計，區塊鏈瀏覽器查不到某地址的餘額或入帳。但礦池會為每個錢包記帳：把錢包丟進礦池的公開 miner API，就能讀到算力、有效／無效 share、應付與已付金額。

$ curl https://www.supportxmr.com/api/miner/47qQHF…CgHe/stats
{"hash": 114019,                # 目前算力 114 KH/s
"totalHashes": 21241747108287, # 累計 21.24 TH
"validShares":104642508,"invalidShares":409,
"amtPaid": 18487033321205,     # 已付 18.487 XMR（原子單位 ÷ 1e12）
"amtDue": 7567687709}

$ curl https://api.c3pool.com/miner/47qQHF…CgHe/stats
{"hash": 33875,"lastShareAlgo":"rx/0",
"validShares":71699083,"invalidShares":51085,
"amtPaid": 3698865099345,      # 已付 3.699 XMR
"txnCount": 684}

$ curl https://www.supportxmr.com/api/miner/47qQHF…CgHe/payments
[{"pt":"pplns","ts":1789341566,"amount":73332000000,
"txnHash":"ed38df2f8ac78ce99382a8af5cce2884f00ca01020043bb1f664d375ec7e3f1c"}, …]

# SupportXMR 25 筆 + C3Pool 15 筆 = 40 筆已完成付款，每筆帶鏈上 txnHash。

兩個重要修正

這是「殭屍網路」，不是單機

兩個礦池的 worker 清單都只回 ["C4"]，而當時聚合算力高達約 148 KH/s。一台 t2.small 的 RandomX 算力只有約 1～2 KH/s。148 KH/s 意味著上百台受害機，全部掛同一個活動代號 C4，經攻擊者自架的 141.94.96.71（XMRig-Proxy 聚合器）彙總後，再以這個錢包對外領獎。

binary 裡的路徑不是本機的

binary 裡出現 /root/xmrig/scripts/build/… 的字串，但本機並不存在對應檔案。那只是編譯時嵌進 binary 的字串，來自攻擊者自己的編譯環境。受害機拿到的是現成 binary，並非在此 clone 與 make。

完整的利益鏈

1. 未授權存取（對外免驗證 RCE）
2. 植入現成 XMRig binary + rootkit + 後門帳號
3. 消耗受害者 CPU、電力、雲端資源（整核滿載近一年）
4. 執行 RandomX 運算，提交 share 至 141.94.96.71 →（fallback）C3Pool／SupportXMR
5. 以錢包 47qQHF…CgHe + worker C4 作為收益識別
6. 累積並領取門羅幣報酬 ≈ 22 XMR（全活動）
7. 攻擊者取得可量化的經濟利益

誰賺了多少，誰付了多少

同一件事的兩本帳：礦池那本記著他領走多少，雲端帳單那本記著我們付了多少。兩本不能互相代替，這是損害量化最常被搞混的地方。

可證明的金額合計 US$11,302.88，全部是他賺的。 這張表最難堪的地方在這裡：整件事唯一有第三方可驗證資料的金額，是攻擊者的收益；我們自己的損失反而還停在推估。受害方要把損失講到能上法庭，就是把 Cost Explorer 的機時匯出來，變成一列 proven。

橫向盤點：其他主機有沒有中？

拿同一組 IOC（錢包、礦池 IP、/var/log/log、ld.so.preload、systemd 後門帳號、@reboot 挖礦排程）掃過同叢集其餘 8 台。判定依據是「主動外連礦池是挖礦的必要條件」：所有乾淨主機皆無任何對外 ESTABLISHED 連線且 load 趨近 0。

| 主機 | 判定 | 依據 | |---|---|---| | 排程機（本案） | ● 已感染 | XMRig（worker C4）+ rootkit + 後門帳號 | | 其餘 7 台 | ✓ 乾淨 | 無任何 IOC；其中一台高 CPU 為合法報表工作，外連只到 Google | | 1 台 | — 無法連線 | No route to host，疑已關機，待確認 |

重點學習

今天就可以來試試