Process explorer как найти майнер
Обновлено: 05.07.2024
У меня есть антивирус Касперский, но сдаётся мне он бесполезен.
Malwarebytes защищает Вас от вредоносного ПО, программ-вымогателей, вредоносных веб-сайтов и…Так это он и есть. Самый главный вирус.
Смотришь какой процесс жрет ресурсы в диспетчере задач и убиваешь его
Нафиг тут антивирусы?
Есть хитрожопые майнеры, при открытии диспетчера задач или мониторинг программ - майнер прекращает свою активность мгновенно)
То есть просто оставить диспетчер открытым?
Ну тогда время переустанавливать виндовс
Не, есть куча способов избавиться от майнера.
Но легче действительно швиндовс переустановить.
можно вытащить видеокарту. шах и мат сраный майнер!
Комментарий удален по просьбе пользователя
разве сам процессор нельзя для майнинга использовать?
можно, для майнинга монеро, например.
Если Виндоус 10, то можно посмотреть загруженность через win+G. Так удалось отловить Майнер у знакомого
Process Explorer/Process Hacker
В таком случае, параноики могут ставить мониторинг-софт на автозапуск.
и убиваешь его
Не хочет брать грех на душу.
Комментарий удален по просьбе пользователя
небось компьютер сломаешь
Dr Web Cureit, если уже сам найти не можешь
Держать на пк лезущее куда не надо стороннее ПО в виде антивируса - идиотизм
лезущее куда не надо стороннее ПО
Да. Сидит такой Касперский\Др.Веб\Аваст\Нортон в компьютере у Александра, и думает, какую же порнушную папку на его компьютере ему в этот раз прошерстить.
Даже при условии что оно просто ничего не сканит. Зачем оно нужно?
Лишние ресурсы ПК отбирать, очевидно
Windows Defender - и это не сарказм.
А вообще обратись сюда, помогут 100%, но не ожидай что очень быстро, там очередь для тех, кто обращается бесплатно.
каждый майнер так говорит
с чего ты взял, что у тебя майнер?
ноутбук сильно шумит временами, даже когда ноутбук ничего не нагружает.
Там достаточно одного спайка нагрузки кратковременного, чтобы лаптоп пошел на взлет. К примеру, апдейтинг винды. С майнером ты бы не шум услышал, а охуевший рёв из-за троттлинга.
есть много других причин этому, например пересохшая термопаста и забитый радиатор кулера
и в этом обязательно виноват скрытый майнер?
да, потому что я пират :D
Арбидол конечно лучший антивирус
вот и у меня така херня была! комп ревел как реактивный, даже тогда когда я на нем вообще ничего не делал! память диска С забивалась с сумасшедшей скоростью, хотя я вообще ничего не качал, и регулярно чистил. творилась лютая дичь с компом. антивирусы ничего не ловили. в конце концов психанул и снес винду нафиг, с форматированием диска С. поставил чистую, пока работает как ляля. хз его знает что с ним было? :/ майнеры могут такую дичь с компом творить?
Обновления win10 залагали
уверен? ну буду знать. а как с этим на будущее? отключить обновы, или ставить их в ручную?
либо отключить например через stopupdates10, либо если повисли обновления через windows update assistant обновлять или скачать последнию исо вин10 и тупо запускать исо из под винды и оно автоматом установит обновления
Касперский да не в жизнь..это как по мне самый бестолковый антивирус , Доктор веб ничего толком не ловит, остальные клоны остальных, которые могут найти только что то большое. Вычистить хрень от майл ру, яндексы, всю мелочь засоряющую и замедляющую систему, которые прописываются в глубоко запрятанных и скрытых папках они не способны. 3 года нет антивирусов и система чистёхонька. Malwarebytes вам в помощь и Trojan remover выметут и вычистят гораздо лучше остальных. А майнеры в процессах нужно искать. ред.
доктор веб какой то там,у меня легчайще весь вирусняк почистил
против майнеров пойдёт?
нет не пойдет, чушь не несите
не покидает ощущение, что против майнеров ничего в мире пока не придумали.
Вирус-майнер (майнер, Биткоин майнер) – это вредоносное программное обеспечение, основной целью которого является майнинг (mining) - заработок криптовалюты с использованием ресурсов компьютера жертвы. В идеальном случае, такое программное обеспечение должно работать максимально скрытно, иметь высокую живучесть и низкую вероятность обнаружения антивирусными программами. ”Качественный” вирус-майнер малозаметен, почти не мешает работе пользователя и с трудом обнаруживается антивирусным ПО. Основным внешним проявлением вирусного заражения является повышенное потребление ресурсов компьютера и, как следствие – дополнительный нагрев и рост шума от вентиляторов системы охлаждения. В случае ”некачественного” вируса-майнера, в дополнение к перечисленным симптомам, наблюдается снижение общей производительности компьютера, кратковременные подвисания или даже неработоспособность некоторых программ.
Что такое майнинг?
Слово ”майнинг” происходит от английского ”mining”, что означает ”разработка полезных ископаемых”. Майнинг - это не что иное, как процесс создания новых единиц криптовалюты (криптомонет) по специальному алгоритму. На сегодняшний день существует около тысячи разновидностей криптовалют, хотя все они используют алгоритмы и протоколы наиболее известного начинателя - Bitcoin .
Процесс майнинга представляет собой решение сложных ресурсоемких задач для получения уникального набора данных, подтверждающего достоверность платежных транзакций. Скорость нахождения и количество единиц криптовалюты, получаемых в виде вознаграждения, различны в системах разных валют, но в любом случае требуют значительных вычислительных ресурсов. Мощность оборудования для майнинга обычно измеряется в мегахешах (MHash) и гигахешах (GHash). Так как сложность майнинга наиболее дорогих криптовалют уже давно недостижима на отдельно взятом компьютере, для заработка используются специальные фермы , представляющие собой мощные вычислительные системы промышленного уровня и пулы майнинга - компьютерные сети, в которых процесс майнинга распределяется между всеми участниками сети. Майнинг в общем пуле - это единственный способ для простого пользователя поучаствовать в получении хотя бы небольшой прибыли от процесса создания криптомонет. Пулы предлагают разнообразные модели распределения прибыли, учитывающие в том числе и мощность клиентского оборудования. Ну и вполне понятно, что загнав в пул десятки, сотни и даже тысячи зараженных майнером компьютеров, злоумышленники получают определенную прибыль от эксплуатации чужого компьютерного оборудования.
Вирусы-майнеры нацелены на долговременное использование компьютера жертвы и при заражении, как правило, устанавливается вспомогательное ПО, восстанавливающее основную программу майнинга в случае ее повреждения, удаления антивирусом или аварийного завершения по каким-либо причинам. Естественно, основная программа настраивается таким образом, чтобы результаты майнинга были привязаны к учетным записям злоумышленников в используемом пуле. В качестве основной программы используется легальное программное обеспечение для майнинга, которое загружается с официальных сайтов криптовалют или специальных ресурсов пулов и, фактически, не являющееся вредоносным программным обеспечением (вирусом, вирусным программным обеспечением - ПО). Это же ПО вы можете сами скачать и установить на собственном компьютере, не вызывая особых подозрений у антивируса, используемого в вашей системе. И это говорит не о низком качестве антивирусного ПО, а скорее наоборот – об отсутствии событий ложной тревоги, ведь вся разница между майнингом, полезным для пользователя, и майнингом, полезным для злоумышленника заключается в том, кому будут принадлежать его результаты, т.е. от учетной записи в пуле.
Как уже упоминалось, главным признаком заражения системы майнером является интенсивное использование ресурсов какой-либо программой, сопровождающееся увеличением уровня шума системного блока, а также температуры комплектующих. При чем, в многозадачной среде, как правило, вирус работает с самым низким приоритетом, используя ресурсы системы только тогда, когда компьютер простаивает. Картина выглядит так: компьютер ничем не занят, простаивает, а его температура комплектующих и издаваемый вентиляцией шум напоминает игровой режим в какой-нибудь очень даже требовательной компьютерной стрелялке. Но, на практике наблюдались случаи, когда приоритет программ для майнинга устанавливался в стандартное значение, что приводило к резкому падению полезного быстродействия. Компьютер начинает жутко ”тормозить” и им практически невозможно было пользоваться.
Удаление майнера с использованием отката на точку восстановления
Самым простым способом избавления от нежелательного ПО является возврат предыдущего состояния Windows с использованием точек восстановления, часто называемый откатом системы. Для этого необходимо, чтобы существовала точка восстановления, созданная в тот момент времени, когда заражение еще не произошло. Для запуска средства восстановления можно воспользоваться комбинацией клавиш Win+r и набором команды rstrui.exe в открывшемся поле ввода. Или воспользоваться главным меню – ”Программы – Стандартные – Служебные – Восстановление системы”. Далее, выбираете нужную точку восстановления и выполняете откат на нее. При успешном откате, в большинстве случаев, удается избавиться от вируса без особых усилий. Если же нет подходящей точки восстановления или откат не привел к нейтрализации вируса, придется искать более сложные пути для разрешения данной проблемы. При этом можно воспользоваться стандартными средствами операционной системы или специализированными программами, позволяющими выполнять поиск и завершение процессов, получение сведений об их свойствах, просмотр и модификацию точек автозапуска программ, проверки цифровых подписей издателей и т.п. Такая работа требует определенной квалификации пользователя и навыков в использовании командной строки, редактора реестра и прочих служебных утилит. Использование же нескольких антивирусных сканеров разных производителей, программ для очистки системы и удаления нежелательного ПО может не дать положительного результата, и в случае с майнером – обычно не дает.
Поиск и удаления майнера с использованием утилит из пакета Sysinternals Suite
Сложность выявления программ, используемых для майнинга, заключается в том, что они не обнаруживаются большинством антивирусов, поскольку фактически не являются вирусами. Есть вероятность, что антивирус может предотвратить процесс установки майнера, поскольку при этом используются не совсем обычные программные средства, но если этого не произошло, искать и удалять вредоносную (с точки зрения владельца зараженного компьютера) программу, скорее всего, придется вручную. К сведению, в июне 2017г. средний уровень выявления вредоносности подобного ПО, например, средствами известного ресурса Virustotal составлял 15-20/62 – т.е. из 62 антивирусов, только 15-20 посчитали его вредоносной программой. При чем, наиболее популярные и качественные антивирусные программы в эту группу не входят. Для хорошо известных или обнаруженных относительно давно вирусов уровень выявления вредоносности может быть выше благодаря сигнатурам антивирусных баз данных и принятия некоторых дополнительных мер разработчиками антивирусных программ. Но все это далеко не всегда позволяет избавиться от вируса майнера без дополнительных усилий, которые потребуется приложить для решения проблемы.
Ниже рассматривается практический случай заражения системы вредоносным ПО для майнинга. Заражение произошло при использовании модифицированных игровых программ, загруженных с одного из недоверенных торент-трекеров. Хотя способ заражения мог быть и другим, как и для любого прочего вредоносного ПО – переход по ссылкам на непроверенных ресурсах, открытие почтовых вложений и т.п.
Набор вредоносных программ для майнинга в интересах злоумышленников реализует следующие функции:
- обеспечение своего автоматического запуска. Одна или несколько программ выполняют модификацию ключей реестра для автоматического запуска в случае непредвиденного завершения, перезагрузки или выключения питания. Периодически (приблизительно 1 раз в минуту) ключи реестра просматриваются и в случае их нарушения (удаления, изменения) - восстанавливаются.
- автоматического запуска программы для майнинга. Программа также запускается автоматически и параметры ее автозапуска отслеживаются и восстанавливаются одной или несколькими вспомогательными программами.
Пока в памяти компьютера выполняются процессы, обеспечивающие автоматический запуск, нет смысла удалять исполняемые файлы и записи в реестре – они все равно будут восстановлены. Поэтому, на первом этапе нужно выявить и принудительно завершить все процессы, обеспечивающие автоматический перезапуск вредоносных программ.
Для поиска и устранения вируса-майнера в современных ОС можно обойтись стандартными средствами или, например, более функциональным ПО из пакета Sysinternals Suite от Microsoft
- Process Explorer – позволяет просматривать подробные сведения о процессах, потоках, использовании ресурсов и т.п. Можно изменять приоритеты, приостанавливать (возобновлять) работу нужных процессов, убивать процессы или деревья процессов. Утилитой удобно пользоваться для анализа свойств процессов и поиска вредоносных программ.
- Autoruns – удобное средство контроля автозапуска программ. Контролирует практически все точки автоматического запуска, начиная от папок автозагрузки и заканчивая задачами планировщика. Позволяет быстро обнаружить и изолировать программы, запуск которых не желателен.
В качестве вспомогательного ПО можно также воспользоваться утилитой Process Monitor , которая в сложных случаях позволяет отслеживать активность конкретных программ с использованием фильтров (обращение к реестру, файловой системе, сети и т.п.) А также удобной для поиска файлов и папок утилитой SearhMyfiles от Nirsoft, главной особенностью которой является возможность поиска файлов и папок с использованием отметок времени файловой системы NTFS (Time stamp). В качестве критериев поиска, можно задавать диапазоны времени создания, модификации и доступа для файлов и папок (Created, Modified, Accessed). Если известно приблизительное время заражения или взлома, можно собрать полный список файлов, которые были созданы или изменены в заданный период.
Но повторюсь, для поиска и удаления майнеров, как правило, достаточно использования стандартных средств Windows - диспетчера задач и редактора реестра. Просто перечисленное выше ПО проще в использовании и удобнее для поиска вредоносных программ.
Cведения об использовании ресурсов системы, отображаемые Process Explorer:
Колонка CPU отображает степень использования центрального процессора различными процессами. System Idle Process - это не процесс, а индикация программой режима простоя (бездействия). В итоге видим, что процессор находится в режиме бездействия 49.23% времени, часть процессов используют сотые доли его ресурсов, а основным потребителем CPU является процесс system.exe - 49.90%. Даже при поверхностном анализе свойств процесса system.exe , заметны факты, которые вызывают обоснованное подозрение:
- Странное описание (Description) – Microsoft Center
Более подробный анализ выполняется через контекстное меню, вызываемое правой кнопкой мышки – пункт Properties:
Путь исполняемого файла ProgramData\System32\system.exe также является явно подозрительным, а переход в паку с исполняемым файлом при нажатии на соответствующую кнопку Explore показал, что и сама папка и исполняемый файл имеют атрибуты ”Скрытый” (”Hidden”). Ну, и параметры командной строки:
Поле Autostart Location содержит значение n/a , что означает, что данный процесс не имеет точек автоматического запуска. Родительский процесс для system.exe имеет идентификатор PID=4928, и на данный момент не существует ( Non existent Process ), что с большой долей вероятности говорит о том, что запуск процесса был выполнен с использованием командного файла или программы, которая завершила свою работу после запуска. Кнопка Verify предназначена для принудительной проверки наличия родительского процесса.
Кнопка Kill Process позволяет завершить текущий процесс. Это же действие можно выполнить с использованием контекстного меню, вызываемого правой кнопкой мышки для выбранного процесса.
Вкладка TCP/IP позволяет получить список сетевых соединений процесса system.exe:
Как видно, процесс system.exe имеет установленное соединение локальный компьютер – удаленный сервер static. 194.9.130.94. clients.your - server.de :45560.
В данном реальном случае, процесс system.exe имел минимальный приоритет и почти не влиял на работу прочих процессов, не требующих повышенного потребления ресурсов. Но для того, чтобы оценить влияние на поведение зараженной системы, можно установить приоритет майнера равный приоритету легальных программ и оценить степень ухудшения полезной производительности компьютера.
При принудительном завершении процесса system exe, он снова запускается спустя несколько секунд. Следовательно, перезапуск обеспечивается какой-то другой программой или службой. При продолжении просмотра списка процессов, в первую очередь вызывает подозрения процесс Security.exe
Как видно, для запуска программы Security.exe используется точка автозапуска из стандартного меню программ пользователя, и выполняемый файл Security.exe находится в той же скрытой папке C:\ProgramData\System32
Следующим шагом можно принудительно завершить Security.exe , а затем – system.exe . Если после этого процесс system.exe больше не запустится, то можно приступать к удалению вредоносных файлов и настроек системы, связанных с функционированием вредоносных программ. Если же процесс system.exe снова будет запущен, то поиск вспомогательных программ, обеспечивающих его запуск нужно продолжить. В крайнем случае, можно последовательно завершать все процессы по одному, каждый раз завершая system.exe до тех пор, пока не прекратится его перезапуск.
Для поиска и отключения точек автозапуска удобно использовать утилиту Autoruns из пакета Sysinternals Suite:
В отличие от стандартного средства msconfig.exe, утилита Autoruns выводит практически все возможные варианты автоматического запуска программ, существующие в данной системе. По умолчанию, отображаются все (вкладка Everything), но при необходимости, можно отфильтровать отдельные записи по типам переключаясь на вкладки в верхней части окна (Known DLLs, Winlogon, … Appinit).
При поиске записей, обеспечивающих автозапуск вредоносных программ, в первую очередь нужно обращать внимание на отсутствие цифровой подписи разработчика в колонке Publisher. Практически все современные легальные программы имеют цифровую подпись, за редким исключением, к которому, как правило, относятся программные продукты сторонних производителей или драйверы/службы от Microsoft. Вторым настораживающим принципом является отсутствие описания в колонке Description. В данном конкретном случае, под подозрением оказывается запись, обеспечивающая открытие ярлыка Security.lnk в папке автозагрузки пользователя:
C:\Users\ Student\ AppData\ Roaming\ Microsoft\ Windows\Start Menu\ Programs\ Startup
Ярлык ссылается на файл c:\programdata\system32\security.exe
Отметка времени (Time Stamp) дает дату и время заражения системы - 23.06.2017 19:04
Любую из записей, отображаемых утилитой Autoruns, можно удалить или отключить, с возможностью дальнейшего восстановления. Для удаления используется контекстное меню или клавиша Del . Для отключения – снимается галочка выбранной записи.
Скрытую папку c:\programdata\ system32\ можно удалить вместе со всем ее содержимым. После чего перезагрузиться и проверить отсутствие вредоносных процессов.
Под скрытым майнером подразумевается программа-вирус, которая использует ресурсы вашего компьютера для добычи криптовалют. Делается это в автоматическом режиме без ведома пользователя и каких-либо предупреждений.
Чаще всего поймать скрытый майнер можно при скачивании файлов из непроверенных источников. Обычно это какой-то пиратский контент, который пользуется большой популярностью среди пользователей. Также наткнуться на подобный вирус можно при получении различных спам-рассылок. В любом варианте вы получаете желаемое, а вместе с этим на ваш компьютер может быть загружен скрытый майнер или утилита для его автоматического скачивания из Сети.
Чем опасен скрытый майнер
Майнер заставляет ваш ПК работать на максимальном уровне производительности, а значит, даже при выполнении несложных офисных задач компьютер может изрядно тормозить. Длительная работа на пределе своих возможностей рано или поздно скажется на «железе».
Первый признак присутствия майнера — торможение на простых задачах и незамолкающий кулер.
Также майнеры вполне могут получить доступ к вашим персональным данным, хранящимся на компьютере. Здесь в ход может пойти всё: начиная от простых фотографий и заканчивая данными различных аккаунтов и электронных кошельков. А это уже очень опасно.
Как майнеру удаётся прятаться
Обычно за работу майнера на вашем ПК отвечает отдельный сервис, который позволяет прятать и маскировать угрозу. Именно такой спутник контролирует автозапуск и поведение вируса, делая его незаметным для вас.
К примеру, данный сервис может приостанавливать работу майнера при запуске каких-то тяжёлых шутеров. Это позволяет освободить ресурсы компьютера и отдать их игре, чтобы пользователь не почувствовал тормозов и проседания частоты кадров. По закрытию шутера вирус вновь возьмётся за работу.
Этот же сервис сопровождения способен отследить запуск программ мониторинга активности системы, чтобы быстро отключить майнер, выгрузив его из списка запущенных процессов. Однако особенно опасные вирусы и вовсе могут попытаться отключить средства сканирования на вашем компьютере, исключив обнаружение.
Как обнаружить скрытый майнер
Если вы стали замечать, что компьютер стал изрядно тормозить и греться, в первую очередь стоит запустить проверку антивирусом со свежими базами. В случае с простыми майнерами проблем быть не должно. Угроза будет обнаружена и устранена. С хорошо скрывающими своё присутствие вирусами придётся повозиться.
Отследить скрытые майнеры позволит систематический мониторинг «Диспетчера задач», который на Windows можно открыть при помощи комбинации клавиш Ctrl + Alt + Del или Ctrl + Shift + Esc. В течение 10–15 минут вам нужно просто понаблюдать за активными процессами при полном бездействии. Закройте все программы и даже не шевелите мышкой.
Если при таком сценарии какой-то из активных или же внезапно появившихся процессов продолжает нагружать «железо» — это верный повод задуматься. Происхождение такого процесса можно проверить с помощью вкладки «Подробности» или через поиск в интернете.
Многие скрытые майнеры, использующие в основном видеокарту ПК, могут не нагружать центральный процессор, а значит, и в «Диспетчере задач» на старых версиях Windows они не засветятся. Именно поэтому лучше оценивать нагрузку на «железо» с помощью специализированных утилит, таких как AnVir Task Manager или Process Explorer. Они покажут куда больше стандартного инструмента Windows.
Некоторые майнеры способны самостоятельно отключать «Диспетчер задач» через несколько минут после его запуска — это тоже признак потенциальной угрозы.
Отдельно стоит выделить ситуацию, когда «Диспетчер задач» демонстрирует чрезмерную нагрузку на процессор со стороны браузера. Это вполне может быть результатом воздействия веб-майнера, функционирующего через определённый веб-сайт.
Как удалить скрытый майнер с компьютера
Первым и самым логичным оружием в борьбе против такой напасти является антивирус, о чём уже было сказано выше. Однако нередко майнеры не распознаются как зловредные угрозы. Максимум они приравниваются к потенциально опасным, особенно если на компьютер попали вместе с пиратской игрой или взломанной программой.
В случае отсутствия у вас мощного антивируса можно прибегнуть к помощи небольших лечащих утилит. В пример можно привести Dr.Web CureIt!, которую нередко используют для поиска скрытых майнеров. Распространяется она бесплатно.
Вручную, без каких-либо сторонних инструментов удаление вируса также возможно, но вы должны быть на 100% уверены, что обнаружили именно майнер. В таком случае вам нужно перейти в реестр, набрав regedit в поиске Windows, и в нём сочетанием клавиш Ctrl + F запустить внутренний поиск (или же через «Правка» → «Найти»).
В открывшейся строке введите название процесса из диспетчера, за которым, по вашему мнению, скрывается майнер. Все обнаруженные совпадения нужно удалить через контекстное меню. После этого можно перезагрузить компьютер и оценить изменения нагрузки на «железо».
Заключение
Важно понимать, что скрытый майнер опасен не только чрезмерной нагрузкой на ПК, но и возможностью перехвата ваших личных данных. При первом же намёке на такую угрозу запустите глубокую проверку памяти компьютера актуальным антивирусом.
Не забывайте, что тормозить ваш компьютер может по самым различным причинам. Более важным признаком угрозы скрытого майнига является чрезмерная активность ПК во время простоя или при выполнении элементарных задач. Обращайте внимание на работу кулеров видеокарты: они не должны шуметь при отсутствии нагрузки.
Если же вы всё-таки обнаружили неизвестный процесс, нагружающий компьютер под завязку, с ним определённо нужно разобраться. С помощью антивирусного ПО или же вручную, отыскав и удалив его через реестр.
Майнинг криптовалют сегодня завоевал просто ошеломительную популярность. В Сети существует масса роликов, объясняющих как это делать в домашних условиях. Однако, сегодня мы предлагаем взглянуть на процесс добычи криптовалюты несколько в иной плоскости.
Современный трейдинг невозможен без использования компьютеров. Каждый трейдер начинает рабочий день с включения своей машины, запуска торговых терминалов, необходимых приложений и вкладок в браузере. И именно в эти моменты он рискует превратиться в жертву того самого майнинга, только скрытого.
Скрытый майнинг: как это выглядит
Для персональных компьютеров, которыми пользуются практически все трейдеры, на данный момент существует три самых распространенных операционных системы: Windows, Linux и OS X.
Последние две обладают своеобразной архитектурой, которая существенно снижает вероятность «подцепить» какой-то вирус. К тому же, количество пользователей Linux и OS X достаточно мало, поэтому написание вирусов для этих ОС – дело совершенно непопулярное и носит эпизодический характер.
Другое дело – ОС Windows, которым пользуется 9 из 10 трейдеров. Написание всевозможных вредоносных программ «под винду» очень распространено – достаточно вспомнить попадающие в папку «Спам» электронные письма о миллионном наследстве и пр. Запуск на своей машине любого незнакомого файла несет в себе потенциальные риски и может установить на нее вирус-майнер.
Как выявить и удалить вирус скрытого майнинга
Самые простые и незамысловатые вирусы начинают полностью использовать мощности вашего ПК для майнинга. В итоге, компьютер начинает жутко тормозить.
Выявить такой примитивный вирус-майнер, объясняют технический отдел журнала Фортрейдер, достаточно просто – необходимо открыть Диспетчер задач и посмотреть, какой из процессов больше всего использует ресурсов системы. Именно он и будет являться вирусом, который майнит криптовалюту на вашем ПК для злоумышленников.
Как выглядит программа вирус для скрытого майнинга в диспетчере задач Windows
Естественно, такой вирус вряд ли будет называться cryptominer. Скорее всего, он будет замаскирован под какой-то системный процесс или достаточно известную программу: opera.exe, skype.exe и т.д.
Чтобы выявить подделку, нужно проверить место расположения этого файла. Для этого нужно кликнуть правой кнопкой мышки по процессу и нажать «Открыть место хранения файла».
Если процесс является замаскированным вирусом-майнером, то его файл будет расположен не в оригинальной папке.
Еще одним признаком скрытого майнера является права пользователя, от имени которого он работает. Как вы понимаете, системный процесс не может работать под правами обычного пользователя.
Если вы стали жертвой скрытого майнинга в такой форме, то «вылечится» проще простого. Необходимо завершить процесс, почистить компьютером эффективным антивирусом, а самое главное – вспомнить, где вы могли этот майнер подхватить, и сделать для себя соответствующие выводы.
Как вирусы майнеры маскируются и как с этим бороться
Наверное, даже начинающий пользователь знает, что если компьютер начинает тормозить, то, скорее всего, на нем вирус, и его необходимо почистить. По этой причине авторы вирусов-майнеров используют для своих темных делишек разные способы маскировки. Вот три самых распространенных из них.
1 способ: маскировка вируса под какую-то службу
Если вирус-майнер маскируется под службу, то в Диспетчере задач вы не увидите никакого отдельного процесса. Ресурсы системы будет использовать какой-нибудь svchost.exe, являющийся абсолютно легальным системным процессом. Если его завершить, то, скорее всего, ваш Windows попросту зависнет.
Что делать в такой ситуации? Можно искать службу с подозрительным названием через msconfig.exe, но существует способ выявления скрытого майнера намного эффективнее. Для этого используется бесплатная программа Process Explorer.
Process Explorer для поимки вируса скрытого майнинга
С помощью программы Process Explorer находим самый ресурсозатратный процесс и находим связанные с ним службы. После этого с помощью поисковых ресурсов Google или Yandex находим информацию о каждой службе и выявляем скрытый вирус-майнер.
2 способ: не жадный майнер
Второй способ направлен не на быстрый майнинг криптовалюты, а на как можно большее время жизни вируса-майнера. Такой майнер не спешит набрасываться на все доступные системные ресурсы, а расходует их умеренно. При этом, если запускается какая-то ресурсоемкая программа, такой вирус останавливает свою работу, чтобы не тормозить ОС и затруднить свое обнаружение.
Более того, продвинутые вирусы-майнеры даже отслеживают, например, частоту вращения вентилятора, чтобы не выдать себя при простое системы чрезмерным использованием вычислительных мощностей.
Что делать в такой ситуации? Опять же, можно искать подозрительные процессы в Диспетчере задач, однако, существуют такие вирусы-майнеры, которые полностью прекращают свою работу, если запущен Диспетчер задач, так что выявить его таким образом вряд ли получится.
Эффективнее всего использовать сторонние аналоги Диспетчера задач в Windows – например, все тот же Process Explorer. Также хорошо подойдут для этой цели и бесплатные программы типа Everest или AIDA64, с помощью которых можно установить на Рабочий стол виджеты для мониторинга нагрузки системы.
Третий вариант: маскировка 80 lvl
Третий вариант маскировки вируса-майнера является самым малораспространенным и, в то же время, самым опасным. Это майнеры, использующие rootkit.
Для тех, кто не знает, руткит (rootkit) – это набор программных средств, маскирующих вирус с помощью получения на вашем компьютере прав Администратора.
Все, без исключения программы на компьютере используют для своей работы некоторые функции системы. Так вот, для примера, майнер-руткит может заменить функцию «Показывать все процессы» на «Показывать все процессы кроме cryptominer.exe». Соответственно, ни Диспетчер задач, ни самый эффективный антивирус такой вирус-майнер обнаружить не смогут.
Что делать в такой ситуации? Демаскирующим свойством майнера-руткита является его сетевая активность. При этом, отслеживать такую активность необходимо непосредственно на роутере или специально организованном на другой машине прокси-сервере.
Заключение
От ошибок не застрахован никто, но вооружен – значит, предупрежден. Помните, что не стоит скачивать из Интернета все подряд, а если вдруг ваш компьютер начал дико тормозить или вы обнаружили еще какую-то подозрительную деятельность на вашей машине – это повод призадуматься, а не майнит ли кто-то для себя криптовалюту, используя ваш ПК?
Вам также будет интересно
Криптовалютная лихорадка стала настоящей проблемой для пользователей компьютеров. Во-первых, майнинг истощил рынок видеокарт, игровых приставок и даже некоторых компонентов для сборки автомобилей. Во-вторых, компьютеры теперь страдают из-за нового типа атак — криптовалюта добывается не только на специальных фермах, но и на системах обычных пользователей. За эту эпидемию отвечают вирусы-майнеры, которые сильно бьют по производительности компьютера. Но их легко обнаружить и устранить, если знать несколько хитростей — об этом далее.
Вопросы со стабильностью операционной системы и скоростью работы компьютера решаются одним махом — если зависает и тупит, то переустанавливаем Windows, и большинство проблем как рукой снимет. После полного форматирования и установки системы «с нуля» компьютер быстрее отзывается на команды пользователя, хотя эффект чистой системы длится совсем недолго. Уже через несколько дней рабочий стол покроется десятками ярлыков и папок, а системный реестр пустыми ссылками на удаленные программы.
Еще через некоторое время компьютер «вспомнит», что такое переполненный накопитель, нехватка оперативной памяти и десятки ненужных программ в автозапуске. В том числе, вредоносных, которые не просто занимают место в системе, но также активно используют его аппаратные ресурсы в корыстных целях. Это не только классические вирусные программы, которые ориентированы на корпоративный сегмент, но и современные вирусы-майнеры, которые могут положить на лопатки даже самую продвинутую игровую сборку.
Что такое вирус
Компьютерный вирус называется так, потому что действует подобно природному вирусу — например, такому как грипп. Зараженные частицы попадают в электронный организм под разными предлогами — это могут быть файлы, которые маскируются под важные библиотеки, пролезают в загрузочный сектор системы и рулят работой компьютера на низком уровне.
К вирусам также относятся вредоносные программы, которые пытаются быть похожими на «полезные» проекты, встраиваются в код программного обеспечения и начинают работать только после того, как пользователь установит программу-носитель и предоставит ей полные права на управление компьютером. Такие вирусы называют троянскими конями — в честь одноименного «подарка» враждующих с Троей ахейцев.
Вирусы-майнеры
К троянскому сорту компьютерных вирусов также относятся и майнеры. В отличие от классических троянов, новые зловреды рассчитаны на распространение среди систем частных пользователей — им не нужна информация, пароли и данные кредитных карт. Эти вирусы интересуются только аппаратными возможностями компьютера — они майнят криптовалюту. Такие «вирусы» можно разделить на две группы.
Классический майнер
Это готовый архив с программой, который может распространяться как отдельно, так и в комплекте с любой другой программой. Как правило, эти зловреды устанавливаются в фоновом режиме и автоматически запускаются во время загрузки компьютера. Конечно, вирусами их называют только по привычке — на самом деле это обычная программа-майнер, которую используют обладатели майнинговых ферм для добычи монет. Хакеры лишь немного модифицируют «обвязку» программы, чтобы она могла разворачиваться и активироваться в системе самостоятельно.
Единственное различие между «вирусом» и собственным майнером остается в прописанных данных для получения прибыли — обычная программа добывает монеты на кошелек владельца фермы, а зловред переводит намайненное на кошелек хакера.
Криптоджекинг
Второй вид непрошенных гостей в системе — криптоджекинг. Вместо того чтобы загружаться в систему, майнер существует в виде скрипта, встроенного в сайт. Как только посетитель попадает на страницу, скрипт активируется, и майнер начинает добывать криптовалюту. В некоторых случаях, этот способ заменяет владельцу сайта заработок на рекламе. При этом добросовестный ресурс говорит об этом открыто и предупреждает посетителей, что вместо показа рекламных баннеров и объявлений он подключит майнер и будет использовать аппаратные возможности системы в своих интересах. Такую деятельность нельзя назвать вирусной — все происходит открыто, официально и только с разрешения владельца компьютера.
Другое дело, если сайт скрывает майнерскую деятельность и использует мощность процессора или видеокарты без предупреждения. Как правило, такие ресурсы пользуются аппаратными возможностями компьютера недобросовестно — вместо 10–20% компьютерного времени они занимают все 100%. Поймать такую «пулю» в интернете легко — как правило, это сайты с огромным количеством рекламы, а также контента типа «майнинг бесплатно и без смс».
Чем опасен майнер
Несмотря на то, что вирусы-майнеры не занимаются кражей информации и паролей, вред от них может быть куда более масштабным, чем от обычных вирусов. Для эффективной добычи криптовалюты компьютеру необходимо задействовать как можно больше мощности, поэтому «зараженный» работает одновременно на двух фронтах — например, добывает валюту на процессоре и видеокарте, а также с помощью накопителя. И даже непродолжительная работа системы в таком режиме может привести к перегреву компьютера или выходу комплектующих из строя.
Если проблема с температурным режимом покажется владельцу настольного компьютера банальной, то пользователь ноутбука может запросто получить «кирпич» после пары часов такой прожарки. Но даже если аппаратная часть мобильной системы выдержит испытание майнингом, то батарейка устройства может растаять в самый неподходящий момент.
Как найти и устранить вирус
Определить, что компьютер используется неизвестным сторонним программным обеспечением в корыстных целях можно двумя способами — на ощупь или с помощью специальных программ.
Симптомы «майнера» легко распознать по поведению системы — если обычные вирусы могут тихо существовать в дальнем углу винчестера, то вирус-майнер «чувствуется» сразу после того, как попадет на диск и активируется.
Признаки:
- сильный нагрев компьютера,
- повышенный шум охлаждения
- медленная работа системы из-за полной загрузки всех ядер процессора и видеокарты.
Все то же самое можно испытать, если запустить на компьютере требовательную игру или задачу на рендеринг 3D-сцены в высоком разрешении, а затем попытаться стримить видео на YouTube.
Раньше вирусы-майнеры можно было легко вычислить по «левому» процессу в диспетчере задач, а также по зашкаливающему графику загрузки ядер или памяти видеокарты.
Актуальные версии майнеров стали намного умнее, поэтому даже опытный мастер не сможет определить, какая программа нагружает сборку и где ее найти. Например, стандартный способ «посмотри в диспетчере задач» больше не работает — вирусы знают свои слабые места и тщательно их скрывают. К тому времени, как пользователь растянет пальцы на сочетание клавиш Ctrl-Alt-Del, майнер благополучно отключится и станет дожидаться следующего удобного случая для активации.
Единственное место, где майнер может наследить во время работы — это температура комплектующих. Температурные датчики и нагретые поверхности имеет высокую инерционность, поэтому в течение нескольких минут после отключения вируса компьютер будет показывать температуру выше той, которая должна быть во время спокойной работы системы.
Вирусы умело скрываются от сторонних программ и системных мониторов, поэтому использовать их для поиска майнеров также не имеет смысла. Лучше предоставить это дело специализированному софту — например, антивирусу.
Защитники компьютерного здоровья
Для поиска и удаления угроз на домашнем компьютере подойдет любой популярный антивирус. Например, ESET NOD32 Internet Security — комплексное решение для защиты системы. В этом наборе есть не только антивирус, но и фаервол, который закрывает доступ к системе извне, а также запрещает неизвестным процессам обращаться к интернету без разрешения пользователя. Это значит, что майнер априори не сможет майнить только потому, что ему запретили общаться с сетью. То же самое можно сказать о решениях от Лаборатории Касперского, а также о немецком софте Avira и даже об отечественном Dr.Web.
Проблема в том, что встроенный в Windows антивирус обладает лишь частью тех умений, которые есть у платного софта. Таких уязвимых систем в мире достаточно много — пользователи гонятся за каждым процентом мощности сборки и пренебрегают безопасностью в пользу стабильности геймплея. В свою очередь, вирусы знают, как обойти стоковые препятствия Windows, поэтому вероятность подхватить зловред стремится к максимуму — и для таких юзеров тоже есть оптимальный выход.
Dr.Web CureIt
Это программа-отщепенец от отечественного антивирусного ПО, которое умеет находить то, чего не видят даже самые навороченные антивирусы. При этом софт распространяется бесплатно — то, что нужно домашнему компьютеру с майнером на борту.
Чтобы воспользоваться программой, необходимо загрузить исполняемый файл с официального сайта и запустить.
Запускаем программу, соглашаемся с условиями и нажимаем «Продолжить»:
После чего утилита предоставит выбор — работать в автоматическом режиме или выбрать места поиска вручную:
Если выбрать ручной режим, то в следующем пункте программа предложит настроить метод поиска зараженных файлов — здесь можно точечно натравить антивирус на необходимые части системы:
Если пользователь не знает, что это за пункты, и где засел вирус, то можно доверить проверку встроенной автоматике:
Нажимаем «Начать проверку» и ждем окончания работы антивируса:
Продолжительность в режиме поиска вирусов зависит от количества файлов на дисках, а также от скорости дисковой подсистемы. Впрочем, если в системе затаились хакерские поделки, то антивирус оповестит о них в первую очередь — так устроены фирменные алгоритмы ПО.
Защита браузера
Несмотря на широкие возможности антивирусов, майнеры, встроенные в сайт, не блокируются этими программами и этим причиняют еще больше неудобств пользователю. Но и на такой тип компьютерных «гадов» находится управа.
Некоторые пользователи поступают опрометчиво — они блокируют работу JavaScript в настройках браузера. Пожалуй, это самый действенный метод обойти майнеров стороной, но есть и нюансы. Без поддержки скриптов браузер не сможет загрузить некоторые сайты или определенный контент — например, популярный ресурс Pinterest и ему подобные, которые используют для работы скрипты Java.
Для гибкого управления работой скриптов на сайтах можно использовать специальные браузерные расширения. Например, расширение для блокировки рекламы типа AdBlock — оно умеет блокировать не только рекламные блоки и объявления, но также умеет настраивать пользовательские правила фильтрации. Например, запретить работу определенного скрипта на всех сайтах.
Ссылки на скрипты-майнеры в HTML уже давно известны, поэтому заблокировать исполнение такого зловреда не составляет труда. Для этого нужно указать блокировщику путь к скрипту и сохранить новый фильтр. Естественно, «рынок» майнеров развивается, и одним «легендарным» Hive хакеры уже не обходятся. Поэтому, чтобы не гоняться за ссылками для блокировки остальных новых и малоизвестных зловредов, придется использовать что-то более универсальное.
Например, установить готовое расширение-антимайнер.
Переходим в магазин расширений Google Chrome или того браузера, который используется как основной, и вводим поисковой запрос «антимайнер»:
Вуаля — компьютер защищен со всех фронтов. Расширение постоянно обновляется и знает о майнерах больше, чем можно представить. Если же майнер проберется на диск, там его встретит антивирус. А пользователь теперь знает, что шумный и горячий компьютер — это не только повод продуть системник от пыли, но также проверить систему на вирусы.
Читайте также: