Под скрытым майнером подразумевается программа-вирус, которая использует ресурсы вашего компьютера для . Делается это в автоматическом режиме без ведома пользователя и каких-либо предупреждений.
Чаще всего поймать скрытый майнер можно при скачивании файлов из непроверенных источников. Обычно это какой-то пиратский контент, который пользуется большой популярностью среди пользователей. Также наткнуться на подобный вирус можно при получении различных спам-рассылок. В любом варианте вы получаете желаемое, а вместе с этим на ваш компьютер может быть загружен скрытый майнер или утилита для его автоматического скачивания из Сети.
Чем опасен скрытый майнер
Майнер заставляет ваш ПК работать на максимальном уровне производительности, а значит, даже при выполнении несложных офисных задач компьютер может изрядно тормозить. Длительная работа на пределе своих возможностей рано или поздно скажется на «железе».
В первую очередь может пострадать видеокарта, процессор, оперативная память и даже система охлаждения, которая просто не сумеет справиться с ежедневными стресс-тестами.
Первый признак присутствия майнера - торможение на простых задачах и незамолкающий кулер.
Также майнеры вполне могут получить доступ к вашим персональным , хранящимся на компьютере. Здесь в ход может пойти всё: начиная от простых фотографий и заканчивая данными различных аккаунтов и электронных кошельков. А это уже очень опасно.
Как майнеру удаётся прятаться
Обычно за работу майнера на вашем ПК отвечает отдельный сервис, который позволяет прятать и маскировать угрозу. Именно такой спутник контролирует автозапуск и поведение вируса, делая его незаметным для вас.
К примеру, данный сервис может приостанавливать работу майнера при запуске каких-то тяжёлых шутеров. Это позволяет освободить ресурсы компьютера и отдать их игре, чтобы пользователь не почувствовал тормозов и проседания частоты кадров. По закрытию шутера вирус вновь возьмётся за работу.
Этот же сервис сопровождения способен отследить запуск программ мониторинга активности системы, чтобы быстро отключить майнер, выгрузив его из списка запущенных процессов. Однако особенно опасные вирусы и вовсе могут попытаться отключить средства сканирования на вашем компьютере, исключив обнаружение.
Как обнаружить скрытый майнер
Если вы стали замечать, что компьютер стал изрядно тормозить и греться, в первую очередь стоит запустить проверку антивирусом со свежими базами. В случае с простыми майнерами проблем быть не должно. будет обнаружена и устранена. С хорошо скрывающими своё присутствие вирусами придётся повозиться.
Отследить скрытые майнеры позволит систематический мониторинг «Диспетчера задач», который на Windows можно открыть при помощи комбинации клавиш Ctrl + Alt + Del или Ctrl + Shift + Esc. В течение 10–15 минут вам нужно просто понаблюдать за активными процессами при полном бездействии. Закройте все программы и даже не шевелите мышкой.
Если при таком сценарии какой-то из активных или же внезапно появившихся процессов продолжает нагружать «железо» - это верный повод задуматься. Происхождение такого процесса можно проверить с помощью вкладки «Подробности» или через поиск в интернете.
Многие скрытые майнеры, использующие в основном ПК, могут не нагружать центральный процессор, а значит, и в «Диспетчере задач» на старых версиях Windows они не засветятся. Именно поэтому лучше оценивать нагрузку на «железо» с помощью специализированных утилит, таких как AnVir Task Manager или Process Explorer . Они покажут куда больше стандартного инструмента Windows.
Некоторые майнеры способны самостоятельно отключать «Диспетчер задач» через несколько минут после его запуска - это тоже признак потенциальной угрозы.
Отдельно стоит выделить ситуацию, когда «Диспетчер задач» демонстрирует чрезмерную нагрузку на процессор со стороны браузера. Это вполне может быть результатом воздействия веб-майнера, функционирующего через определённый веб-сайт.
Как удалить скрытый майнер с компьютера
Первым и самым логичным оружием в борьбе против такой напасти является антивирус, о чём уже было сказано выше. Однако нередко майнеры не распознаются как зловредные угрозы. Максимум они приравниваются к потенциально опасным, особенно если на компьютер попали вместе с пиратской игрой или взломанной программой.
В случае отсутствия у вас мощного антивируса можно прибегнуть к помощи небольших лечащих утилит. В пример можно привести Dr.Web CureIt! , которую нередко используют для поиска скрытых майнеров. Распространяется она бесплатно.
Вручную, без каких-либо сторонних инструментов удаление вируса также возможно, но вы должны быть на 100% уверены, что обнаружили именно майнер. В таком случае вам нужно перейти в реестр, набрав regedit в поиске Windows, и в нём сочетанием клавиш Ctrl + F запустить внутренний поиск (или же через «Правка» → «Найти»).
В открывшейся строке введите название процесса из диспетчера, за которым, по вашему мнению, скрывается майнер. Все обнаруженные совпадения нужно удалить через контекстное меню. После этого можно перезагрузить компьютер и оценить изменения нагрузки на «железо».
Заключение
Важно понимать, что скрытый майнер опасен не только чрезмерной нагрузкой на ПК, но и возможностью перехвата ваших личных данных. При первом же намёке на такую угрозу запустите глубокую проверку памяти компьютера актуальным антивирусом.
Не забывайте, что тормозить ваш компьютер может по самым различным . Более важным признаком угрозы скрытого майнига является чрезмерная активность ПК во время простоя или при выполнении элементарных задач. Обращайте внимание на работу кулеров видеокарты: они не должны шуметь при отсутствии нагрузки.
Если же вы всё-таки обнаружили неизвестный процесс, нагружающий компьютер под завязку, с ним определённо нужно разобраться. С помощью антивирусного ПО или же вручную, отыскав и удалив его через реестр.
Если ваш компьютер стал «тормозить», а платежи за электричество внезапно увеличились в несколько раз, возможно, вы стали жертвой хакеров, промышляющих скрытым (черным) майнингом.
Скрытый майнинг: как обнаружить и можно ли устранить проблему?
Чтобы заняться добычей криптовалют (майнингом), обычному пользователю требуется несколько вещей: компьютерная техника большой мощности, наличие специального ПО для майнинга, надежный сервер для распределения подписок между членами сообщества майнеров и, конечно, уверенность в собственных силах. Но не все так просто. С каждым днем процесс добычи Bitcoin усложняется, конкуренция между добытчиками растет.
Затраты на электричество – тема отдельного разговора. Уже сегодня одна транзакция «съедает» электроэнергии в полтора раза больше, чем потребляет за день среднестатистическая американская семья. А согласно экспертным прогнозам, через три года расходы на производство самой популярной цифровой валюты будут сопоставимы с годовым расходом электроэнергии такой страны, как Дания.
Ужесточившиеся условия полностью вывели из игры добытчиков биткоинов с домашними компьютерами, но у них пока еще осталась возможность зарабатывать на альтернативных монетах – т. н. альткоинах. По этой причине некоторые «предприимчивые» программисты ищут способы заработка цифровой наличности с использованием чужих компьютерных мощностей.
Криптодобыча на чужом горбу: как это делают хакеры
В любом виде человеческой деятельности есть те, кто работает честно и те, кто пытается поживиться за счет других. И мир майнинга не стал исключением. Кто-то не оплачивает электричество, подтягивая кабель к трансформатору, кто-то пользуется контрабандными китайскими видеокартами. Но больше распространен другой способ «игры без правил» – использование для майнинга чужих компьютеров без ведома их хозяев.
Так, осенью 2017 г. специалисты центра Касперского раскрыли две масштабных сети, занимающиеся майнингом, – на 4 тыс. и 5 тыс. единиц оборудования. Как выяснилось, собственники зараженных компьютеров не имели понятия о своем участии в добыче виртуальных монет, а вот создатели вредоносной программы ежемесячно пополняли свои кошельки тысячами долларов.
Чаще всего черные майнеры берут «в работу» Лайткоины, Feathercoin и Monero – виды криптовалют, не требующих сверхмощного оборудования. Поэтому жертвами становятся в основном пользователи обычных домашних и игровых компьютеров.
Виды черного майнинга
Рассмотрим две разновидности незаконной добычи криптовалюты, которые используют злоумышленники.
- Скрытый браузерный майнинг
Наверняка вы знаете, что посещение неизвестных интернет-ресурсов может принести вред компьютеру. Это правило применимо и в нашем случае. Достаточно зайти на страницу, в скрипте которой вписан мошеннический код, и ваш ноутбук или компьютер мгновенно станет составным элементом чьей-то системы для генерации виртуальных монет.
Сегодня рассадником заразы могут стать уже не только неизвестные сайты, но и, как выяснилось не так давно, вполне уважаемые ресурсы. В сентябре текущего года произошел скандал, связанный с официальным сайтом крупного украинского медийного холдинга, посетители которого стали невольными майнерами Монеро. Подобное обвинение чуть позже было выдвинуто известному телеканалу ShowTime (США).
- Вирус-майнеры
Первая информация о вирус-майнерах относится к 2011 году. С того времени они продолжает атаковать технику рядовых юзеров в разных странах мира. Заразиться можно, перейдя по ссылке из e-mile. В зоне риска – компьютеры большой мощности, преимущественно игровые.
В целом вирусы более опасны в сравнении с браузерным майнингом, поскольку они активнее используют мощности компьютерной техники. При этом их жертвами становятся сотни тысяч пользователей по всему миру.
Как проверить скрытый майнинг?
Первый и самый очевидный признак заражения компьютера – замедление работы. Если техника большую часть времени работает нормально и начинает тормозить только на одном сайте, возможно, черные майнеры проникли в ваш компьютер через браузер. Опаснее всего в этом плане сайты, требующие продолжительного времени нахождения пользователя, – торрент-трекеры, ресурсы для компьютерных игр и просмотра фильмов. Очень часто атакам вируса подвергается техника геймеров с мощными процессорами и видеокартами. Еще один симптом заражения – резкое увеличение потребления электричества.
Главная сложность проверки на скрытый майнинг состоит в том, что антивирусные программы идентифицируют его не как вирус, а как потенциально опасное ПО. Ведь фактически майнеры только воруют ресурсы чужого компьютера, но не могут стать причиной технических сбоев или поломок. Это тоже важно понимать.
Вирусные программы скрытого майнинга
Перечислим основные вредоносные программы, о которых важно знать пользователям для повышения безопасности своего оборудования.
- Miner Bitcoin (троян). Как правило, люди загружают свои компьютеры примерно на 18-20 % мощности, в то время как Майнер биткоин повышает этот показатель до 80-ти, а иногда и до 100 %. Помимо незаконного использования ресурсов, шпионская программа ворует личную информацию и даже может открыть злоумышленникам доступ к вашим кошелькам. Распространяется данный вид трояна преимущественно через скайп; его также можно подхватить, скачивая фото или документы Word.
- EpicScale. Данную программу обнаружили посетители uTorrent. Отвечая на обоснованные обвинения, владельцы компании заявили, что полученные таким способом средства они отправляют… на благотворительность. При этом пользователи не получили объяснений по поводу того, почему их «забыли» вовремя проинформировать об участи в этой «благотворительной акции». Примечательно, что от EpicScale невозможно избавиться полностью, после удаления исполнительные файлы вирусного ПО остаются в компьютере. Позднее аналогичный скандал разгорелся вокруг торрент-трекера Pirate Bay.
- JS / Coin Miner. Вредная программа, позволяющая добывать криптовалюту через браузеры чужих компьютеров путем внедрения специальных скриптов. В зоне особого риска – пользователи порталов онлайн-просмотра видео и игровых сайтов. Такие сайты загружают процессор, поэтому в большинстве случаев JS/CoinMiner остается незамеченным. Для обнаружения мошеннического скрипта нужно проверить, есть ли он в перечне miner-скриптов.
Как блокировать скрытый браузерный майнинг
На сегодняшний день есть несколько действенных способов защиты от атак черных майнеров на браузер:
- Отредактировать файл hosts.
- Установить браузерное расширение NoCoin и утилиту Anti-Web Miner.
- Отключить в своем браузере JavaScript, используя No Script.
- Добавить антимайнинг uBlock и AdBlock.
Но если с ДжаваСкрипт и утилитами все достаточно понятно, то редакция hosts нуждается в более подробном рассмотрении. Ниже мы размещаем инструкцию, как это сделать:
После этих несложных действий ваш браузер получит надежную защиту от заражения.
Защита от скрытого вирусного майнинга: меры предосторожности
Базовые правила защиты: не ходите по сомнительным ссылкам, не качайте продукты, не имеющие лицензии; не активируйте ключи из непонятных источников.
А теперь еще несколько важных правил для безопасной работы с компьютером:
- Недостаточно просто установить антивирус, нужно систематически обновлять его.
- Создайте себе учетную запись в Windows и ежедневно заходите через нее. Поскольку для установки любых программ нужны права администратора, риск случайно скачать и запустить вредоносную программу будет устранен.
- Для техники от компании Apple лучшим решением будет установка функции, допускающей скачивание ПО только из AppStore.
- При первых признаках замедления скорости запускайте «диспетчер задач» и проверьте, нет ли на вашем компьютере программы, которая использует его на пределе его мощности (80-100 %). Даже если вы ее не обнаружите, не спешите успокаиваться, ведь существуют вирусы, которые задействуют меньше мощности.
- Установите специальные утилиты, которые обеспечивают защиту от вирусов и сообщают об обновлениях в реестре. Оптимальный вариант – одновременная установка Request Policy Continued и uMatrix, а для тех, кто использует Google Chrome, в дополнение к ним блокировщик Антимайнер.
Вирус-майнер (майнер, Биткоин майнер) – это вредоносное программное обеспечение, основной целью которого является майнинг (mining) - заработок криптовалюты с использованием ресурсов компьютера жертвы. В идеальном случае, такое программное обеспечение должно работать максимально скрытно, иметь высокую живучесть и низкую вероятность обнаружения антивирусными программами. ”Качественный” вирус-майнер малозаметен, почти не мешает работе пользователя и с трудом обнаруживается антивирусным ПО. Основным внешним проявлением вирусного заражения является повышенное потребление ресурсов компьютера и, как следствие – дополнительный нагрев и рост шума от вентиляторов системы охлаждения. В случае ”некачественного” вируса-майнера, в дополнение к перечисленным симптомам, наблюдается снижение общей производительности компьютера, кратковременные подвисания или даже неработоспособность некоторых программ.
Что такое майнинг?
Слово ”майнинг” происходит от английского ”mining”, что означает ”разработка полезных ископаемых”. Майнинг - это не что иное, как процесс создания новых единиц криптовалюты (криптомонет) по специальному алгоритму. На сегодняшний день существует около тысячи разновидностей криптовалют, хотя все они используют алгоритмы и протоколы наиболее известного начинателя - Bitcoin .
Процесс майнинга представляет собой решение сложных ресурсоемких задач для получения уникального набора данных, подтверждающего достоверность платежных транзакций. Скорость нахождения и количество единиц криптовалюты, получаемых в виде вознаграждения, различны в системах разных валют, но в любом случае требуют значительных вычислительных ресурсов. Мощность оборудования для майнинга обычно измеряется в мегахешах (MHash) и гигахешах (GHash). Так как сложность майнинга наиболее дорогих криптовалют уже давно недостижима на отдельно взятом компьютере, для заработка используются специальные фермы , представляющие собой мощные вычислительные системы промышленного уровня и пулы майнинга - компьютерные сети, в которых процесс майнинга распределяется между всеми участниками сети. Майнинг в общем пуле - это единственный способ для простого пользователя поучаствовать в получении хотя бы небольшой прибыли от процесса создания криптомонет. Пулы предлагают разнообразные модели распределения прибыли, учитывающие в том числе и мощность клиентского оборудования. Ну и вполне понятно, что загнав в пул десятки, сотни и даже тысячи зараженных майнером компьютеров, злоумышленники получают определенную прибыль от эксплуатации чужого компьютерного оборудования.
Вирусы-майнеры нацелены на долговременное использование компьютера жертвы и при заражении, как правило, устанавливается вспомогательное ПО, восстанавливающее основную программу майнинга в случае ее повреждения, удаления антивирусом или аварийного завершения по каким-либо причинам. Естественно, основная программа настраивается таким образом, чтобы результаты майнинга были привязаны к учетным записям злоумышленников в используемом пуле. В качестве основной программы используется легальное программное обеспечение для майнинга, которое загружается с официальных сайтов криптовалют или специальных ресурсов пулов и, фактически, не являющееся вредоносным программным обеспечением (вирусом, вирусным программным обеспечением - ПО). Это же ПО вы можете сами скачать и установить на собственном компьютере, не вызывая особых подозрений у антивируса, используемого в вашей системе. И это говорит не о низком качестве антивирусного ПО, а скорее наоборот – об отсутствии событий ложной тревоги, ведь вся разница между майнингом, полезным для пользователя, и майнингом, полезным для злоумышленника заключается в том, кому будут принадлежать его результаты, т.е. от учетной записи в пуле.
Как уже упоминалось, главным признаком заражения системы майнером является интенсивное использование ресурсов какой-либо программой, сопровождающееся увеличением уровня шума системного блока, а также температуры комплектующих. При чем, в многозадачной среде, как правило, вирус работает с самым низким приоритетом, используя ресурсы системы только тогда, когда компьютер простаивает. Картина выглядит так: компьютер ничем не занят, простаивает, а его температура комплектующих и издаваемый вентиляцией шум напоминает игровой режим в какой-нибудь очень даже требовательной компьютерной стрелялке. Но, на практике наблюдались случаи, когда приоритет программ для майнинга устанавливался в стандартное значение, что приводило к резкому падению полезного быстродействия. Компьютер начинает жутко ”тормозить” и им практически невозможно было пользоваться.
Удаление майнера с использованием отката на точку восстановления
Самым простым способом избавления от нежелательного ПО является возврат предыдущего состояния Windows с использованием точек восстановления, часто называемый откатом системы. Для этого необходимо, чтобы существовала точка восстановления, созданная в тот момент времени, когда заражение еще не произошло. Для запуска средства восстановления можно воспользоваться комбинацией клавиш Win+r и набором команды rstrui.exe в открывшемся поле ввода. Или воспользоваться главным меню – ”Программы – Стандартные – Служебные – Восстановление системы”. Далее, выбираете нужную точку восстановления и выполняете откат на нее. При успешном откате, в большинстве случаев, удается избавиться от вируса без особых усилий. Если же нет подходящей точки восстановления или откат не привел к нейтрализации вируса, придется искать более сложные пути для разрешения данной проблемы. При этом можно воспользоваться стандартными средствами операционной системы или специализированными программами, позволяющими выполнять поиск и завершение процессов, получение сведений об их свойствах, просмотр и модификацию точек автозапуска программ, проверки цифровых подписей издателей и т.п. Такая работа требует определенной квалификации пользователя и навыков в использовании командной строки, редактора реестра и прочих служебных утилит. Использование же нескольких антивирусных сканеров разных производителей, программ для очистки системы и удаления нежелательного ПО может не дать положительного результата, и в случае с майнером – обычно не дает.
Поиск и удаления майнера с использованием утилит из пакета Sysinternals Suite
Сложность выявления программ, используемых для майнинга, заключается в том, что они не обнаруживаются большинством антивирусов, поскольку фактически не являются вирусами. Есть вероятность, что антивирус может предотвратить процесс установки майнера, поскольку при этом используются не совсем обычные программные средства, но если этого не произошло, искать и удалять вредоносную (с точки зрения владельца зараженного компьютера) программу, скорее всего, придется вручную. К сведению, в июне 2017г. средний уровень выявления вредоносности подобного ПО, например, средствами известного ресурса Virustotal составлял 15-20/62 – т.е. из 62 антивирусов, только 15-20 посчитали его вредоносной программой. При чем, наиболее популярные и качественные антивирусные программы в эту группу не входят. Для хорошо известных или обнаруженных относительно давно вирусов уровень выявления вредоносности может быть выше благодаря сигнатурам антивирусных баз данных и принятия некоторых дополнительных мер разработчиками антивирусных программ. Но все это далеко не всегда позволяет избавиться от вируса майнера без дополнительных усилий, которые потребуется приложить для решения проблемы.
Ниже рассматривается практический случай заражения системы вредоносным ПО для майнинга. Заражение произошло при использовании модифицированных игровых программ, загруженных с одного из недоверенных торент-трекеров. Хотя способ заражения мог быть и другим, как и для любого прочего вредоносного ПО – переход по ссылкам на непроверенных ресурсах, открытие почтовых вложений и т.п.
Набор вредоносных программ для майнинга в интересах злоумышленников реализует следующие функции:
Обеспечение своего автоматического запуска. Одна или несколько программ выполняют модификацию ключей реестра для автоматического запуска в случае непредвиденного завершения, перезагрузки или выключения питания. Периодически (приблизительно 1 раз в минуту) ключи реестра просматриваются и в случае их нарушения (удаления, изменения) - восстанавливаются.
Автоматического запуска программы для майнинга. Программа также запускается автоматически и параметры ее автозапуска отслеживаются и восстанавливаются одной или несколькими вспомогательными программами.
Пока в памяти компьютера выполняются процессы, обеспечивающие автоматический запуск, нет смысла удалять исполняемые файлы и записи в реестре – они все равно будут восстановлены. Поэтому, на первом этапе нужно выявить и принудительно завершить все процессы, обеспечивающие автоматический перезапуск вредоносных программ.
Для поиска и устранения вируса-майнера в современных ОС можно обойтись стандартными средствами или, например, более функциональным ПО из пакета Sysinternals Suite от Microsoft
- Process Explorer – позволяет просматривать подробные сведения о процессах, потоках, использовании ресурсов и т.п. Можно изменять приоритеты, приостанавливать (возобновлять) работу нужных процессов, убивать процессы или деревья процессов. Утилитой удобно пользоваться для анализа свойств процессов и поиска вредоносных программ.
- Autoruns – удобное средство контроля автозапуска программ. Контролирует практически все точки автоматического запуска, начиная от папок автозагрузки и заканчивая задачами планировщика. Позволяет быстро обнаружить и изолировать программы, запуск которых не желателен.
В качестве вспомогательного ПО можно также воспользоваться утилитой Process Monitor , которая в сложных случаях позволяет отслеживать активность конкретных программ с использованием фильтров (обращение к реестру, файловой системе, сети и т.п.) А также удобной для поиска файлов и папок утилитой SearhMyfiles от Nirsoft , главной особенностью которой является возможность поиска файлов и папок с использованием отметок времени файловой системы NTFS (Time stamp). В качестве критериев поиска, можно задавать диапазоны времени создания, модификации и доступа для файлов и папок (Created, Modified, Accessed). Если известно приблизительное время заражения или взлома, можно собрать полный список файлов, которые были созданы или изменены в заданный период.
Но повторюсь, для поиска и удаления майнеров, как правило, достаточно использования стандартных средств Windows - диспетчера задач и редактора реестра. Просто перечисленное выше ПО проще в использовании и удобнее для поиска вредоносных программ.
Cведения об использовании ресурсов системы, отображаемые Process Explorer:
Колонка CPU отображает степень использования центрального процессора различными процессами. System Idle Process - это не процесс, а индикация программой режима простоя (бездействия). В итоге видим, что процессор находится в режиме бездействия 49.23% времени, часть процессов используют сотые доли его ресурсов, а основным потребителем CPU является процесс system.exe - 49.90%. Даже при поверхностном анализе свойств процесса system.exe , заметны факты, которые вызывают обоснованное подозрение:
Странное описание (Description) – Microsoft Center
Странное имя компании (Company Name) – www.microsoft.com Прочие процессы, действительно имеющие отношение к Microsoft в качестве описания имеют строку Microsoft Corporation
Более подробный анализ выполняется через контекстное меню, вызываемое правой кнопкой мышки – пункт Properties:
Путь исполняемого файла ProgramData\System32\system.exe также является явно подозрительным, а переход в паку с исполняемым файлом при нажатии на соответствующую кнопку Explore показал, что и сама папка и исполняемый файл имеют атрибуты ”Скрытый” (”Hidden”). Ну, и параметры командной строки:
-o stratum+tcp://xmr.pool.minergate.com:45560 --donate-level=1 -u [email protected]*-p x -t 2 –k явно указывают на то, что процесс system.exe – это программа-майнер (для использования пулов pool.minergate.com).
Поле Autostart Location содержит значение n/a , что означает, что данный процесс не имеет точек автоматического запуска. Родительский процесс для system.exe имеет идентификатор PID=4928, и на данный момент не существует (Non existent Process ), что с большой долей вероятности говорит о том, что запуск процесса был выполнен с использованием командного файла или программы, которая завершила свою работу после запуска. Кнопка Verify предназначена для принудительной проверки наличия родительского процесса.
Кнопка Kill Process позволяет завершить текущий процесс. Это же действие можно выполнить с использованием контекстного меню, вызываемого правой кнопкой мышки для выбранного процесса.
Вкладка TCP/IP позволяет получить список сетевых соединений процесса system.exe:
Как видно, процесс system.exe имеет установленное соединение локальный компьютер – удаленный сервер static.194.9.130.94.clients.your-server.de:45560.
В данном реальном случае, процесс system.exe имел минимальный приоритет и почти не влиял на работу прочих процессов, не требующих повышенного потребления ресурсов. Но для того, чтобы оценить влияние на поведение зараженной системы, можно установить приоритет майнера равный приоритету легальных программ и оценить степень ухудшения полезной производительности компьютера.
При принудительном завершении процесса system exe, он снова запускается спустя несколько секунд. Следовательно, перезапуск обеспечивается какой-то другой программой или службой. При продолжении просмотра списка процессов, в первую очередь вызывает подозрения процесс Security.exe
Как видно, для запуска программы Security.exe используется точка автозапуска из стандартного меню программ пользователя, и выполняемый файл Security.exe находится в той же скрытой папке C:\ProgramData\System32
Следующим шагом можно принудительно завершить Security.exe , а затем – system.exe . Если после этого процесс system.exe больше не запустится, то можно приступать к удалению вредоносных файлов и настроек системы, связанных с функционированием вредоносных программ. Если же процесс system.exe снова будет запущен, то поиск вспомогательных программ, обеспечивающих его запуск нужно продолжить. В крайнем случае, можно последовательно завершать все процессы по одному, каждый раз завершая system.exe до тех пор, пока не прекратится его перезапуск.
Для поиска и отключения точек автозапуска удобно использовать утилиту Autoruns из пакета Sysinternals Suite:
В отличие от стандартного средства msconfig.exe, утилита Autoruns выводит практически все возможные варианты автоматического запуска программ, существующие в данной системе. По умолчанию, отображаются все (вкладка Everything), но при необходимости, можно отфильтровать отдельные записи по типам переключаясь на вкладки в верхней части окна (Known DLLs, Winlogon, … Appinit).
При поиске записей, обеспечивающих автозапуск вредоносных программ, в первую очередь нужно обращать внимание на отсутствие цифровой подписи разработчика в колонке Publisher. Практически все современные легальные программы имеют цифровую подпись, за редким исключением, к которому, как правило, относятся программные продукты сторонних производителей или драйверы/службы от Microsoft. Вторым настораживающим принципом является отсутствие описания в колонке Description. В данном конкретном случае, под подозрением оказывается запись, обеспечивающая открытие ярлыка Security.lnk в папке автозагрузки пользователя:
C:\Users\Student\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
Ярлык ссылается на файл c:\programdata\system32\security.exe
Отметка времени (Time Stamp) дает дату и время заражения системы - 23.06.2017 19:04
Любую из записей, отображаемых утилитой Autoruns, можно удалить или отключить, с возможностью дальнейшего восстановления. Для удаления используется контекстное меню или клавиша Del . Для отключения – снимается галочка выбранной записи.
Скрытую папку c:\programdata\system32\ можно удалить вместе со всем ее содержимым. После чего перезагрузиться и проверить отсутствие вредоносных процессов.
Всем привет. Сегодня я расскажу о вирусах майнерах. Что это? Где их можно словить? Что будет с компьютером при заражении майнером? Как избавится от вируса майнера?
Что такое вирус майнер?
Это вирус, который использует вычислительные ресурсы вашего компьютера для заработка криптовалют. То есть мошенник, используя ресурсы вашего компьютера и ваше электричество - зарабатывает реальные деньги! Таким вирусом сейчас заражено очень много компьютеров, большинство компьютеров, которые приносят нам на сервис сейчас так же заражены вирусом майнером и пользователи даже не знают, что заражены. Таких компьютеров сотни тысяч или даже миллионы, представьте сколько зарабатывает владелец такого вируса. Кстати в одном из моих видео я показывал, как вы сами можете зарабатывать деньги - майнить криптовалюты на своем ПК.
Майнинг на домашнем компьютере
Словить вирус майнер сейчас очень легко и вот где его можно подхватить:
Скачивая программы с сомнительных ресурсов
Раньше в программы встраивали так называемое дополнительное ПО, что бы на компьютер не устанавливалась всякая хрень нужно было внимательно выполнять установку и снимать все галочки, которые без вашего разрешения могли установить на компьютер дополнительное часто вредоносное ПО, думаю все это помнят. Сейчас же в инсталятор программ встраивают и ПО для майнинга. Иногда при установке вируса майнера вы даже не увидите сообщение о его установке. Майнер установится сам без вашего ведома и спроса. Что бы этого не происходило обязательно используйте антивирус, качайте программы только на проверенных источниках и внимательно следите за всеми галочками при установке дополнительного ПО или используйте программу Uncheky. И как я уже очень много раз говорил все файлы стоит проверять через сайт вирустотал.
Скачивая пиратские игры
Буквально на днях нам принесли компьютер, компьютер обслуживался у нас, хозяин жаловался, что игра, которая раньше выдавала 100 FPS, стала выдавать 20-30 FPS, хотя оборудование компьютера не менялось и драйвера и Windows тоже. Человек установил более новую версию игры скачав ее с торрента, так называемый репак. Мы начали проверять и выяснили что при достаточно мощном компьютере, игра нагружала его на 100%. Нагружалось все процессор, видеокарта. Мы начали искать причину такой активности и выяснилось, что вместе с игрой человек установил вирус майнер. Работал он крайне хитро, только во время игры и понять, что майнер нагружает ПК было очень сложно, ведь игра тоже дает нагрузку. Скорее всего мошенники просто пожадничали и поставили в настройках майнера слишком большой процент нагрузки на карту и проц. Если бы этот процент был меньше, то хозяин и не заметил бы что его компьютер заражен вирусом майнера. А у вас начинали глючить игры, которые раньше шли нормально? Возможно это майнер! И таких случаев интернете валом можете сами поискать.
Просто зайдя на любимый сайт
История веселая та как как коснулась моего сайта. На моем сайте есть несколько модераторов, которые следят за сайтом и отвечают на комментарии. Так вот один из моих модераторов установил на сайт код, который запускает майнинг криптовалют прям через ваш браузер без вашего ведома и разрешения. Вам нужно только открыть любую страницу сайта. Все ваш процессор работает на владельца сайта. Конечно на моем сайте уже все исправлено, а модератор отправился во всем известное место. Хотите посмотреть, как это работает? Я создал отдельную , на котором оставил данный скрипт. Кстати если хотите помочь моему проекту, можете открыть данную страничку и ваш компьютер будет работать на меня). И такой майнинг скрипт я заметил уже на многих сайтах где можно посмотреть фильм или сериал, таким образом владельцы сайтов монетизируют свои сайты. Многие устанавливают адблоки и сайты становятся не рентабельными, это единственный способ заработка на сайте.
Что будет с компьютером при заражении майнером?
Все просто, ваш компьютер постоянно будет работать в максимальной нагрузке. Это может вызвать, перегрев оборудования и выход его из строя, если вы не следите за температурой, рекомендую отслеживать температуру компьютера через программу . Так же при постоянной повышенной температуре у деталей компьютера снизится срок эксплуатации. При постоянной нагрузке компьютер, будет жрать много электричества.
Как избавится от вируса майнера?
Все очень просто у меня есть хорошее видео по удалению всех вирусов с вашего компьютера оно вам подойдет:
Удалить все вирусы с компьютера
Просто почистите компьютер, а в будущем будьте на чеку!
Ну, а что же делать с сайтами, на которых есть скрипт майнер? В браузер нужно установить плагин, который отключает JS на сайтах. Для браузеров на основе хрома это плагин - Tampermonkey , а для Firefox - NoScript . Установите дополнение и отключайте выполнение скриптов на неугодных сайтах.
Предлагаю вашему вниманию мое видео
Если ваш компьютер постоянно тормозит и работает на максимальных мощностях, то это повод проверить его на наличие вирусов-майнеров. Рассмотрим, как обнаружить скрытый майнер на компьютере и удалить его.
Что это и чем опасен
Скрытый майнер — это программа-вирус, которая использует производительность вашего ПК для майнинга (добычи) криптовалют. Заражение происходит через:
- вредоносные сообщения;
- скачанные файлы;
- спам-рассылку.
В видео более подробно рассказано о том, что такое майнинг и как он работает.
Первые упоминания о скрытом майнинге появились в 2011 году, но тогда это были единичные случаи. На начало 2018 года данная проблема занимает одну из лидирующий позиций в новостных лентах.
Троян-майнер несет большую опасность для ПК:
- Уменьшает срок службы «железа».
ПК работает на максимальной нагрузке длительное время, что негативно сказывается на максимальном сроке службы:- процессора;
- видеокарты;
- системы охлаждения.
- Ограничивает производительность.
Во время использования зараженного компьютера для своих задач пользователь получает мизерную производительность, ведь основная ее часть идет на скрытый майнинг. - Открывает доступ к личным данным.
Поскольку майнер — это троян, то он получает доступ к персональной информации пользователя. Последнее время участились случаи кражи электронных кошельков и паролей. Злоумышленник не только использует производительность вашего ПК, но и ворует конфиденциальные данные.
Обратите внимание! Последнее обновление Windows получило защиту от майнинга. Ознакомиться c информацией можно, перейдя по ссылке « ».
Как обнаружить и удалить
Совет! Просканируйте систему антивирусом, возможно вам попадется обычный майнер, который не скрывает свое присутствие. В таком случае он будет обнаружен и автоматически удален антивирусным ПО.
Обычно обнаружить троян пользователю довольно-таки сложно, ведь разработчики вирусного ПО постаралась максимально скрыть его работу. Новые майнеры способны маскировать свою деятельность:
- Отключаться во время работы пользователя с требовательными приложениями.
- Маскироваться в Диспетчере задач под другие приложения.
- Работать только во время «простоя» ПК.
Ваш компьютер может быть заражен, а вы даже и не заметите этого. Все зависит лишь от изобретательности хакеров. Постараемся максимально подробно рассказать, как выявить вредоносное ПО.
Важно! Будьте осторожны при удалении какого-либо файла, особенно если не уверены в его назначении. Все действия вы делаете на свой страх и риск!
Через Диспетчер задач
Немного коснемся интернет-майнинга. Есть сайты, которые с помощью специального скрипта получают доступ к производительности вашего ПК. Хакер, обойдя защиту интернет-ресурса, загружает туда свой вредоносный код, который майнит криптовалюты в момент вашего нахождения на сайте.
Понять, что вы попали на такой, очень просто, ведь при его посещении ваш компьютер начнет тормозить, а Диспетчер задач покажет сильную нагрузку на «железо». Достаточно просто покинуть сайт для прекращения процесса майнинга.
Для обнаружения вредоносного ПО в системе:
Через AnVir Task Manager
Обнаружить скрытый вирус поможет мультифункциональный диспетчер процессов AnVir.
- Скачайте и установите утилиту.
- Запустите ее и просмотрите запущенные процессы.
- При возникновении подозрений, наведите курсором на приложение для отображения информации о нем.
Обратите внимание! Некоторые трояны маскируются под системное приложение, но детали подделывать не умеют.
- После чего ПКМ → «Детальная информация» → «Производительность».
- Выбрав «1 день», просмотрите нагрузку на ПК в течении этого времени.
- Если процесс сильно нагружал систему — наведите курсором на него → запишите название и путь.
- Кликните по процессу ПКМ → «Завершить процесс».
- В поиске Windows вбейте «regedit» → зайдите в реестр.
- «Правка» → «Найти».
- Введите название файла → удалите все совпадения.
Важно! Если вы не уверены в том, что файл можно удалять — напишите нам в комментариях, постараемся помочь.
- Просканируйте систему антивирусом (для примера использован стандартный антивирус, который находится в «Пуск» → «Параметры» → «Обновление и безопасность» → «Защитник Windows»).
- В случае обнаружения угроз, подтвердите их удаление.
- Перезагрузите ПК.
