Mac 风扇狂转温度爆表？一次挖矿木马排查背后的自查清单

不少 Mac 用户都有过类似的体验：电脑越用越卡，风扇噪声越来越大，机身摸上去烫手，但打开程序管理一看，似乎每个应用都很正常，于是安慰自己"电脑老了，正常现象"。最近海外论坛上一位开发者 UntilHEX 的经历证明，这种"正常"有时候是假象——他的 Mac 里藏着一个挖矿程序，已经悄悄运转了将近两个月。

写个温度监控工具，意外揪出挖矿木马

事情的起因很简单：这台 Mac 长期卡顿、频繁过热，UntilHEX 决定借助 Claude Code 开发一个温度监控工具，顺便检查应用读取的传感器数据是否准确。排查原始温度数据时，一个异常出现了：温度读数高得离谱。

顺着这条线索继续查 CPU，结果令人吃惊：一个名为 XMRig 的进程正占用约 1175% 的 CPU，相当于十二个核心同时满负荷运转，峰值温度冲到 112 摄氏度。XMRig 是一款开源的加密货币挖矿软件，本身并非天生恶意，但被人在未经同意的情况下装进别人的电脑偷偷运行，就是彻头彻尾的资源窃取。更麻烦的是，这个程序早在当年 8 月 29 日就被写进了系统启动项，也就是说它已经无声无息跑了近两个月。UntilHEX 自己猜测，感染源头可能与一款破解音频插件有关。

值得一提的是处理方式。发现异常进程后，Claude Code 并没有直接删文件，而是先解释发现了什么，再列出处理方案：停止挖矿进程、禁用对应的开机启动项、把相关文件移入隔离目录。在得到明确许可后才执行清理，最后一个文件因权限问题由用户手动删除，随后又用 Malwarebytes 做了全盘复扫确认无残留。

五步自查：你的 Mac 有没有被偷偷打工

这个案例最有价值的部分，是它可以被复制成一套普通用户也能执行的自查清单：

1. 打开"活动监视器"，切换到 CPU 标签，按占用率从高到低排序。重点留意CPU 长期高于 300%、名称是一串随机字母数字、且你不认识的进程。挖矿程序的典型特征就是占用高、界面里却找不到对应的应用。
2. 查启动项。进入"系统设置 > 通用 > 登录项与扩展"，逐条核对允许后台运行的程序，来路不明的条目直接移除。
3. 深查启动配置文件。用访达前往以下三个目录逐个检查：当前用户资源库下的 LaunchAgents、系统资源库下的 LaunchAgents、以及系统资源库下的 LaunchDaemons，删除前先搜索文件名确认来源。上述案例中，木马正是通过启动项实现开机自启的。
4. 查进程真实路径。在活动监视器里选中可疑进程，通过检查器查看它的所在路径，正规软件都在"应用程序"或系统目录里，藏在用户缓存目录、临时目录里的可执行文件高度可疑。
5. 补一轮专业扫描。手动清理完成后，用 Malwarebytes 等工具做全盘复扫，确认没有残留的守护进程把挖矿程序重新拉起。

几点观察

这件事里有两层值得琢磨的信号。第一层是感染渠道：又是破解软件。付费插件的破解版历来是恶意程序的重灾区，省下的授权费最后往往以算力、隐私甚至更贵的方式偿还。第二层是平台认知：评论区不少人惊讶 Mac 也会中毒，实际上 macOS 从来不是天然免疫，只是过去市场占有率低、专门针对它的恶意软件少。如今 Mac 用户规模上来了，针对性的攻击自然水涨船高，而系统层面对"CPU 被某个进程长期吃满"这类异常并没有主动提醒机制，用户不查就永远不知道。

也有网友指出更微妙的一点：过去发现这类问题要靠安全工具和运气，现在对话式 AI 顺带把排查门槛降了下来——它不一定会替代杀毒软件，但在"电脑好像有点不对劲"和"揪出真凶"之间，普通人第一次有了一个能一步步带着走的排查助手。工具在进步，攻击同样在进步，唯一确定有效的策略仍然是那条老原则：不装来路不明的软件，定期看一眼活动监视器，别让机器在你不注意的时候替别人打工。