macOS 疑似挖礦程式事件處理流程

一、事件資訊確認

告警內容

  • 事件類型：`PUA-OTHER Cryptocurrency Miner outbound connection attempt`
  • 來源 IP：`140.114.x.xx`
  • 目的 IP：`xxx.xxx.xxx.xxx`
  • 目的 Port：`443`
  • 來源 Port：`17564`
  • 發生時間：`2026-xx-xx xx:xx:xx`
  • 設備類型：`macOS`

二、立即處置

1. 確認設備使用者

確認下列資訊：

  • 使用者姓名
  • 設備名稱
  • macOS 版本
  • 設備用途（教學、研究、行政或個人使用）

2. 保留現場

事件分析完成前：

  • 不要重新開機
  • 不要刪除檔案
  • 不要解除安裝可疑程式
  • 避免重要證據遭到清除。

三、確認異常連線來源

查看目前網路連線 

sudo lsof -iTCP -n -P

或 

netstat -anv

查詢目標 IP 是否仍有連線 

sudo lsof -i @103.194.186.118

確認：

  • 程序名稱（COMMAND）
  • PID
  • 執行帳號

例如： 

COMMAND     PID    USER
Google      1234   user

或 

xmrig       5678   user

四、找出異常程序

查看 CPU 使用率 

top -o cpu

或 

ps aux | sort -nrk 3 | head

重點檢查：

  • CPU 長時間超過 80%
  • 名稱不明程序
  • 非正常系統服務

常見挖礦程式名稱： 

xmrig
cpuminer
minerd
xmrig-proxy
monero
miner

五、檢查可疑檔案

搜尋挖礦程式 

sudo find / -iname "*xmrig*" 2>/dev/null
sudo find / -iname "*miner*" 2>/dev/null
sudo find / -iname "*monero*" 2>/dev/null

查看程序執行路徑 

ps aux | grep -i xmrig
lsof -p <PID>

確認檔案位置是否位於： 

/Users/<帳號>/Downloads
/Users/<帳號>/Library
/tmp
/private/var

六、檢查開機自動執行機制

LaunchAgents 

ls -al ~/Library/LaunchAgents/
ls -al /Library/LaunchAgents/

LaunchDaemons 

ls -al /Library/LaunchDaemons/

列出系統服務 

launchctl list

檢查是否存在： 

com.update.helper
com.apple.updater
com.chrome.helper

等模仿合法程式名稱的項目。

七、檢查近期新增程式

最近七天下載檔案 

find ~/Downloads -mtime -7

最近七天安裝程式 

find /Applications -mtime -7

注意是否出現：

  • 破解軟體
  • 免費 VPN
  • 不明安裝程式
  • DMG 安裝包

八、檢查瀏覽器擴充元件

部分挖礦告警可能由瀏覽器腳本產生。

  • Chrome：chrome://extensions
  • Microsoft Edge：edge://extensions
  • Safari：Safari → 設定 → 延伸功能

檢查：

  • 不明擴充套件
  • 加密貨幣相關套件
  • 最近新增外掛

九、檢查歷史紀錄

Unified Log 

log show --last 24h | grep 103.194.186.118

或 

log show --last 24h | grep -i network

確認事件發生前後：

  • 使用者開啟哪些程式
  • 是否出現異常程序啟動
  • 是否有持續連線行為

十、蒐證資料收集

於終端機執行： 

ps aux > ps.txt
lsof -nP > lsof.txt
launchctl list > launchctl.txt
top -l 1 > top.txt
system_profiler SPSoftwareDataType > system.txt

收集：

  • ps.txt
  • lsof.txt
  • launchctl.txt
  • top.txt
  • system.txt

提供資安人員進一步分析。

十一、事件研判

判定為誤報

符合以下情況之一：

  • Chrome／Safari 瀏覽特定網站
  • Docker 容器程式連線
  • Node.js、Python 開發工具
  • 合法加密貨幣相關軟體

處理方式：

  • 關閉相關網站
  • 更新瀏覽器
  • 清除可疑外掛

判定為疑似中毒

符合下列特徵：

  • 發現 XMRig 或類似礦工程式
  • CPU 長期異常高載
  • 存在 LaunchAgent 持久化
  • 防毒軟體有惡意程式告警

處理方式：

  • 立即斷網。
  • 保留證據檔案。
  • 移除惡意程式與持久化機制。
  • 執行完整掃描。
  • 必要時重灌系統並更換使用者密碼。