对于挖矿机与挖矿软件通讯的协议监测仅能遮盖到非对称加密通讯的密文，现阶段绝大部分挖矿软件都适用了数据加密通讯。协议数据加密是将来IDS要处理问题。那样对于加密传输的密文，咱们可以在挥手协议和证书2个方面来做一点事儿。因为挖矿的独特性，挖矿软件的网站域名、证书是不容易随便开展转变的，而且挖矿软件的具备集聚特性，即越大的挖矿软件结合到的挖矿机越多，越可以保证盈利的可靠性。因此还可以对于排名相对靠前的挖矿软件开展网站域名和证书的搜集，加上目的性的监测对策。初期的挖矿木马在感染服务器后明显的行为表现特点是巨大的占有处理器及图形处理器资源，关键包含：高处理器和图形处理器利用率、响应时间慢、奔溃或经常再次重启、系统超温、出现异常网络活动（例如连接挖矿挖币的网站域名或IP地址）。

伴随着抵抗的深层次和区块链应用的更新，挖矿采用更为隐敝的处理器/图形处理器占有，避免 被客户发觉，与此同时产生了一种以占有磁盘空间和服务器带宽来开展挖矿的数字货币，处理器并沒有体现出体现的利用率，反倒是电脑硬盘被占有了巨大的空间，较为有象征性的货币是Filecoin、Chia、Swarm和Dfinity。

尽管利用数年的演变，挖矿木马攻击服务器的技巧手段多元化和多样性，但从攻击过程而言并沒有大的转变，整体上分成3个环节：

（1）攻击者运用服务器或是服务漏洞获得提交挖矿木马的必需管理权限。例如未授权浏览漏洞、Web服务远程代码执行漏洞、网站服务器组件漏洞等;

（2）攻击者将挖矿木马上传入被害服务器后，运行木马程序全自动完成分布式锁运行和本身掩藏。

（3）挖矿木马为了更好地完成盈利的利润最大化，应用局域网检测扫描，密码工程爆破等方法发觉别的潜在性被害目标服务器，并在内网服务器间开展大区域散播

在这个攻击过程中，服务器方面的监测在以上3个环节中都有适合的突破口，通常会从进程特点，数据连接，文件特点等众多方面开展监测。

在第一个环节，攻击者运用已发现漏洞对服务器开展智能化攻击，攻击成功后，然后利用命令执行等方法在线下载执行挖矿木马，与此同时会检验系统是否有别的挖矿进程运行，如果有就停止掉，保证自个独享挖矿资源。利用对普遍挖矿木马脚本命令执行链的开展分析，可以较为易于地发觉其中的出现异常。