挖礦文件這么編輯exe

『壹』 以太幣挖礦，用什麼來挖

以太幣挖礦教程

1、在硬碟上新建文件夾，比C:Eth。之後所有挖礦軟體就存放在這里。

2、下載以下軟體

1)Geth——選擇Geth-Win下載然後解壓

2)Ethminer——下載解壓到同一個文件夾，重命名為「miner」

3)Ethereum Wallet(以太坊錢包)——下載Win以太坊錢包，解壓之後重命名「wallet」

安裝好所有軟體

3、打開命令提示符(同時點擊Win和R鍵或者點擊開始菜單然後輸入cmd)。命令提示符是命令行解析器，讓你在操作系統中執行命令輸入的軟體。

之後你就擁有以太坊錢包了。但是沒有餘額，所以接下來你需要建立ethminer。暫時可以最小化錢包了。

挖礦

『貳』 winsvcs.exe這個是什麼文件，金山提示是病毒

應該是一種挖礦病毒，有很多變種，會在C盤Windows目錄下生成16位數字的隱藏文件夾並復制病毒自身文件，然後生成兩個啟動項。
根據病毒的不同，目現我這邊發現的有4906969302004590、607450708407080650這兩個文件夾目錄。
這個病毒通過U盤傳播，感染後會將U盤中的所有文件移入 _ 文件夾，然後生成一個快捷方式，U盤插入未被病毒感染的電腦後，只要運行這個快捷方式電腦就會被病毒感染。

『叄』 狗狗幣挖礦 狗狗幣怎麼挖

一、下載cpu挖礦工具 地址https://sourceforge.net/projects/cpuminer/files/

四、運行start.bat

(3)挖礦文件這么編輯exe擴展閱讀:

Dogecoin，有人稱作「狗狗幣/狗幣」，誕生於2013年12月8日，基於Scrypt演算法，是國際上用戶數僅次於比特幣的第二大虛擬貨幣。

數字貨幣是民間發起的全球通用貨幣，不屬於某個國家，是屬於全人類，具有全球轉帳速度快的優點，如幾秒內就可以把錢由國內匯到美國，且費用低廉，並且總量不會像法幣一樣隨意增發，總量相對穩定。

礦機，就是用於賺取虛擬幣的電腦，這類電腦一般有專業的挖礦晶元，多採用燒顯卡的方式工作，耗電量較大。用戶用個人電腦下載軟體然後運行特定演演算法，與遠方伺服器通訊後可得到相應虛擬幣，是獲取比特幣的方式之一。

虛擬幣是指互聯網上面的一種虛擬出來的金錢。即高科技中代替實體貨幣流通的信息流或數據流。在信息技術高速發展的今天，實體貨幣遠遠不能滿足人們的資金流動需求了。

虛擬貨幣與支票和電匯不同，虛擬貨幣不能實現的價值，不能通過銀行轉賬，目前只能流通於網路世界，虛擬貨幣是由各網路機構自行放行，沒有形成統一的發行和管理規范。

『肆』 騙局揭秘：你的礦機真的在挖礦嗎

最近，我收到一位朋友的咨詢，讓我發現了一種新型騙局。

之後的幾天，我又發現有三位朋友中招，他們的被騙經歷和騙子的手法極其相似,都是在某二手交易平台上購買礦機，都是正常挖礦一周後算力突然消失，很可能是同一夥騙子所為。

我想，我該做點兒什麼了。

奇怪的故障

這天，某A向我咨詢，他購買的20台顯卡礦機，突然都不能挖礦了。

具體故障表現為：礦池顯示礦機掉線。

▼由於長時間沒有算力，某A向我咨詢時，礦機已經顯示為失效了。

幫助過頗多小白的我，還是有一定經驗的，我讓他用手感受下礦機出風口的溫度。

▼這是正常挖礦的功耗

▼這是空載時的功耗

可以發現，礦機如果不在挖礦的話，顯卡的功耗會明顯降低，出風口應該基本感受不到溫度。

某A很快給了我答復，出風口是熱的，和之前沒有區別。

顯然，礦機是在工作的。

既然機器在工作，那就可以直接排除網路和礦池的原因。

因為如果和礦池的連接出了問題，挖礦軟體會停止挖礦，顯卡功耗也會降低。

似乎只有一個可能的解釋：機器被黑了，算力被切到了別人的地址上。

既然是系統被黑了，保險起見，最好的辦法就是重裝一下。

經驗告訴我，一個被黑的系統，重裝是最省時省力的辦法，鬼知道黑客會搞什麼幺蛾子，礦機又沒有數據要保留。

在我的指導下，某A成功安裝minerOS，一個專為挖礦定製的系統。

之後，讓我一臉懵逼的事兒來了，居然檢測不到顯卡！！

▼minerOS後台沒有識別到任何顯卡

一台能插8卡的礦機，主板一定會使用各種奇技淫巧來增加PCIE插槽。

常見的方法有：PCIE交換機、帶寬降低到1x、協議使用PCIE 2.0等等，兼容性和穩定性確實一般，偶爾丟一兩張卡是很常見的。

但是，能把8張卡都給丟了的，我真是第一次見到。

轉機

某A和我折騰了好幾個小時，一籌莫展。

就在我幾乎打算放棄遠程調試，打算讓某A把機器寄給我時，某A抱怨了一句：熱死了。

這句話點醒了我，我又讓某A檢查了下出風口的溫度，依然是熱的。

似乎機器還在挖礦，可是明明連顯卡都識別不到。

索性直接讓某A把礦機關機，但是依然保持電源打開，過了一會兒，某A檢查出風口，居然還是熱的。

這就有點兒奇怪了不是？

一不做二不休，不管機器上的防拆貼，我直接讓某A找來螺絲刀，拆機。

這一拆不要緊，真是讓人大吃一驚。

機器里只有一個小小的工控板，幾根電熱絲，一個小小的電源，還有一些磚頭，機箱兩側是暴力風扇。

▼此處某A不同意使用他的礦機圖片，請根據此示意圖自行腦補畫面。

不用說，某A被騙了。

不得不說，騙子的想像力還是很豐富的。

機箱里的磚頭是配重用的，電熱絲顯然是用來產生熱量，讓你以為機器在工作。

工控板里刷個系統，再配個電源，齊活。

不解

某A認為他已經足夠小心了，走的是二手交易平台，並且正常挖了一周才確認收貨的。

很早以前就有一種騙局，騙你購買雲算力或者所謂的「礦機」，其實根本就不能挖礦，只能連接騙子提供的所謂「礦池」，上面給你顯示點兒算力，每天給你打點兒幣，說是挖礦收益。

算力只是騙子搭建的網站上的數字，收益其實是騙子從你買雲算力或者礦機的幣中拿出一點兒轉給你的。

等上當受騙的人足夠多了，騙子就捲款跑路，這類騙局最著名的當屬「蝸牛星際」。

其實這種騙局很容易識破，只要你要求必須能在第三方礦池挖礦，就可以了。

第三方礦池會公正地顯示算力，顯然這種騙局中並沒有真實算力，因此可以識破。

某A是知道這種騙局的，因此他強調必須要在F2Pool能夠顯示算力，並且收益要是F2Pool支付的，這至少能保證算力是真實存在的。

經過我的檢查，某A收到的收益，確確實實是從F2Pool的地址支付的，可以在鏈上查到，並且也能在F2Pool上查到相關挖礦記錄。

所以，算力是真實存在的，如假包換。

但是，機箱里的這些東西，是不可能產生算力的，到底算力從何而來呢？

某A再三確認，這些機器收到後沒有任何其他人碰過，不存在被調包的可能。

我決定仔細研究一番。

由於這台機器已經重裝過系統，我讓某A又找來另一台機器。

揭秘

經過一番排查，我還真找到了貓膩，不由讓我贊嘆，這騙子太聰明了。

▼這是常用的以太坊挖礦工具lolMiner是吧，我一開始也是這么認為的。

▼查看一下它的大小，居然只有48個位元組，要知道正常的lolMiner的可執行文件應該在8MB左右。

▼查看下內容，這個lolMiner居然是個腳本。

大家是怎麼啟動挖礦的呢？使用這行命令對吧：

./lolMiner.exe --algo ETHASH --pool 礦池地址 --user 錢包地址.礦機名

因為這台機器上的lolMiner並不是真實的挖礦程序，而是個腳本，上面的命令行參數會補全到腳本里。

最終執行的其實是這個命令：

ssh [email protected] "~/lolminer/lolMiner" --algo ETHASH --pool 礦池地址 --user 錢包地址.礦機名

這個命令的功能是什麼呢？

遠程登錄 http://xxx.xxx.xxx.xxx 這台機器，在遠程的機器上執行挖礦程序lolMiner，並把程序的輸出傳輸到本地顯示，挖礦其實是在騙子手裡的真礦機上進行的。

騙子還很貼心地配置了ssh私鑰免密碼登陸，真真正正地做到了與真實的lolMiner操作沒有區別。

估計看到這里，沒一定技術基礎的朋友一定暈了，沒關系，我們畫張圖，理順下。

▼正常的挖礦

▼某A的「礦機」

看出區別了嗎？

其實真正在挖礦的是騙子手裡的真礦機，某A手裡的假礦機只不過是給真礦機發了個指令，這也是為什麼騙子手裡的真礦機能知道某A的挖礦賬號的原因。

騙子手裡的那些真礦機會把挖礦日誌傳回來，顯示在某A手裡的假礦機上，看起來假礦機是在挖礦。

因為騙子手裡的真礦機在某A的地址上挖礦，所以礦池有顯示，並會支付收益。

因此，某A會以為手上的這台假礦機在挖礦。

沉甸甸的磚頭做配重，風扇吹出熱乎乎的風，配合上不斷跳動的挖礦日誌，如假包換的礦池算力顯示，還有真金白銀的收益，真是完美的騙局！

無奈

一句話，小白礦工，真的太苦了，才出虎穴又入狼窩。

如果說「假礦池」這種坑還可以躲避的話，小白很難避免受到這種「假礦機真算力」騙局的欺騙。

從某A發給我的聊天截圖來看，騙子是那麼的真誠，耐心指導，消息秒回。

騙子在某二手平台上的信用分也很高，銷售礦機的價格又是那麼的優惠，比行情價低了兩千多。

機器到手後，上面都是防拆貼，你拆了，人家名正言順地說是你調包，不退不換。

今天是磚頭，也許拆了能看出來，明天要是換成報廢的顯卡呢？你從外觀真看不出來。

今天這個腳本只有幾十KB，如果下次人家編譯一個大小差不多的二進制文件呢？

除了逆向工程，否則你真沒辦法知道這個程序是不是真的在用你的礦機挖礦，顯然不是小白的能力范圍。

就算你刷了自己的系統，人家一句只兼容提供的系統，你也沒話說。

畢竟，礦機配置千奇百怪，系統不兼容需要額外調試也是很正常的。

你只有10天時間，只要忽悠你10天，錢就到騙子手裡了，人家可以直接關了真礦機跑路。

賣給某A礦機的這個騙子，現在就已經消失了，消息不回，電話不接，連地址都是假的。

啟示

在這個浮躁的環境下，所有人都幻想著一夜暴富，騙子利用的正是這點。

當你覺得有利可圖的時候，請務必問自己三個問題：

你賺的錢是哪裡來的？

你相比於其他人，有什麼優勢，為什麼是你賺別人的錢而不是反過來？

你真的了解你所投資的東西嗎？

如果某A不是過於自信，而是更多地了解一下礦圈，或者在大量拿貨之前，先拿一兩台試試，又或者是找一個第三方來檢查下礦機，是不是就不會被騙了呢？

很多朋友加我的微信第一句話：李老師有沒有什麼群可以讓我學習一下？

這讓我想起了我小時候，練習題買了一大堆，似乎買了你就會了，就能考高分了。

加一大堆亂七八糟的群，真的有用嗎？

我們生活在一個信息過載的時代，你需要做的是從海量的垃圾信息中，尋找真實和有用的信息，而不是浸泡在更多垃圾信息里幻想自己也是牛人。

有巨大價值的信息，會出現在幾百人個陌生人組成的群里嗎？

就算是一個本來有價值的信息，出現在這種群里之後，還有價值嗎？

商業的本質就是信息差，眾所周知周知的信息，哪裡還有信息差可言？哪裡還有價值呢？

更別說群里各種騙局橫生，某A就是在群里結識的騙子，繼而被騙的。

從某A的被騙，有感而發，不知不覺又寫了好幾千字。

騙局還在繼續，如果你也是騙局的受害者，請分享你的經歷，避免更多人受害。

『伍』 WannaMine挖礦木馬手工處理

關於病毒及木馬的問題，都說老生常談的了，這里就不講逆向分析的東西，網上畢竟太多。就寫一下WannaMine2.0到4.0的手工處理操作。確實，很多時候都被問的煩了。

WannaCry勒索與WannaMine挖礦，雖然首次發生的時間已經過去很久了，但依舊能在很多家內網見到這兩個，各類殺毒軟體依舊無法清除干凈，但可以阻斷外聯及刪除病毒主體文件，但依然會殘留一些。此種情況下，全流量分析設備依舊可以監測到嘗試外聯，與445埠掃描行為。

WannaCry 在使用殺毒軟體及手動清除攻擊組件所在目錄後，仍需手動cmd命令刪除兩個系統服務sc delete mssecsvc2.0與mssecsvc2.1。

WannaMine 全系使用「永恆之藍」漏洞，在區域網內快速傳播。且高版本會在執行成功後完全清除舊版本。

下圖為WannaCry與WannaMine使用的永恆之藍攻擊組件相關文件。

WannaMine2.0版本

該版本釋放文件參考如下：
C:
C:Windowssystem32wmassrv.dll
C:.dll
C:WindowsSystem32EnrollCertXaml.dll 刪除系統服務名與DLL文件對應的wmassrv。

WannaMine3.0版本

該版本釋放文件參考如下：

C:.xmlC:WindowsAppDiagnosticsC:WindowsSystem32TrustedHostex.exeC:WindowsSystem32snmpstorsrv.dll

需刪除主服務snmpstorsrv與UPnPHostServices計劃任務

WannaMine4.0版本

該版本釋放文件參考如下：

C:WindowsSystem32 dpkax.xsl

C:WindowsSystem32dllhostex.exe

C:.dll

C:.dll

C:WindowsSysWOW64dllhostex.exe

C:WindowsNetworkDistribution

<pre style="margin: 0px; padding: 0px; white-space: pre-wrap !important; overflow-wrap: break-word !important; max-width: 98%;">文件名隨機組合參考• 第一部分：Windows、Microsoft、Network、Remote、Function、Secure、Application •第二部分：Update、Time、NetBIOS、RPC、Protocol、SSDP、UPnP •第三部分：Service、Host、Client、Event、Manager、Helper、System •rdp壓縮文件隨機字元串後綴：xml、log、dat、xsl、ini、tlb、msc</pre>

關於Windows下計劃任務與啟動項查看方式，建議在使用PCHunter、Autoruns、ProcessHacker等工具無法發現異常的情況下，可以到注冊表下查看。

注冊表下排查可疑的計劃任務

HKEY_LOCAL_

發現可疑項可至tasks下查看對應ID的Actions值

HKEY_LOCAL_ asks[圖片上傳失敗...(image-e8f3b4-1649809774433)]

計劃任務文件物理目錄
C:

新變種病毒有依靠 WMI 類屬性存儲 ShellCode 進行攻擊，Autoruns可以用來檢查WMI與啟動項並進行刪除，在手動刪除病毒相關計劃任務與啟動項時，記得刪除相應的文件與注冊表ID對應項。

注冊表下查看開機啟動項
HKEY_CURRENT_或runOnce [圖片上傳失敗...(image-8a357b-1649809774432)]

『陸』 鏄懼崱鎬庝箞鎸栫熆

鏈榪戣櫄鎷熻揣甯佷環鏍間竴璺椋欏崌錛岀幇鍒嗕韓鐢ㄦ樉鍗¤幏鍙栬櫄鎷熻揣甯佺殑奼妲愭柟娉曘
鍦ㄦ祻瑙堝櫒涓杈撳叆榪涘叆鍝堝笇瀹濅笅杞界晫闈錛屽苟鐐瑰嚮涓嬭澆銆
涓嬭澆瀹屾垚鍚庤儭闄墊．瑙ｅ帇鍘嬬緝鍖咃紝榪涜￥浜╁叆鈥渂ehash鈥濇枃浠跺す涓錛屾墦寮鈥渂ehash.exe鈥濄
鐐瑰嚮鈥滃紑鍚璁拌處鈥濆嵆鍙寮濮嬬敤鏄懼崱鎸栫熆銆
寮濮嬫寲鐭垮悗錛屽嵆鍙鐪嬪埌鑷宸辨樉鍗＄殑綆楀姏鍙婂凡緇忚禋鍒扮殑閮ㄥ垎銆

『柒』 怎樣 刪除 mineros.exe 這種挖礦程序

最近一台安裝了Gitlab的伺服器發生了高負載告警，Cpu使用情況如下：

讓後登錄到伺服器，利用top查看CPU使用情況，這個叫minerd的程序消耗cpu較大，如下圖所示：

這個程序並不是我們的正常服務程序，心裡一想肯定被黑了，然後就搜索了一下這個程序，果真就是個挖礦木馬程序，既然已經知道他是木馬程序，那就看看它是怎麼工作的，然後怎麼修復一下後門。

這個程序放在/opt/minerd下，在確定跟項目不相關的情況下判斷是個木馬程序，果斷kill掉進程，然後刪除/opt下minerd文件。

展

『捌』 怎麼看待幣安Launchpad下的Launchpool

Launchpool與LAD形式相似，是一個新幣挖礦項目，而且無挖礦上限，無需KYC，降低挖礦門檻。