Вирус майнер, как найти и удалить?

Как обнаружить вирус-майнер?

В том случае, если появляются сомнения относительно того, что на компьютере вовсю работает ботнет, то в таком случае необходимо проверить свою гипотезу:

• Проведите проверку работоспособности и загруженности ПК при стандартных процессах (используйте простой софт, например, браузер).
• Запустите компьютерную игру, которая значительно увеличит нагрузку устройства, а также задействует максимум ресурсов видеокарты и центрального процессора.
• Запускаем AID64, чтобы проверить работоспособность ЦП и видеоадаптера до/после закрытия программ.
• Сравниваем полученные показатели и делаем соответствующие умозаключения.

Программное обеспечение для теневой добычи криптовалюты в некоторых случаях отключаются в момент, когда пользователь открывает «Диспетчер задач», разумеется, что из-за этого их обнаружить гораздо сложнее. Более того, многие вирусы и вовсе способны блокировать «Диспетчер задач».

Впрочем, отыскать вирус все равно можно. Для этого нужно использовать мощное программное обеспечение, например, AnVir Task Manager. Данный софт специализируется именно на определении подозрительных процессов, расходующих ресурсы компьютера.

Теперь рассмотрим основные этапы удаления программ для теневого майнинга.

Этап №1 – подготовительные работы

Начать нужно с резервного копирования важных данных, поскольку не исключено, что определенные сведения в итоговом счете не подадутся «лечению», следовательно, важные файлы придется удалить. Однако абсолютно всю информацию на носителе также копировать не стоит, поскольку вместе с этим растет риск того, что вирус попросту перекочует на новое устройство.

Теперь можно скачивать антивирус, установите, самую свежую версию программы с обширной базой данных о шпионских программах. Также потребуется дополнительное программное обеспечение – это CCleaner, SpyHunter.

Майнер-бот – это троян, поэтому удаление вируса может стать причиной некорректной работы операционной системы. Желательно, иметь под рукой диск или флешку с установкой ОС.

Перед тем как приступить к поиску вируса, обязательно закройте программы, функционирующие в фоновом режиме. Майнер-бот способен маскироваться под уже запущенные процессы, чтобы не привлекать внимания пользователя. Поэтому когда фоновые задачи закрыты, обнаружить вирус гораздо проще.

Этап №2 – Удаление

Чтобы антивирус отыскал скрытого майнера, необходимо запустить глубокую проверку. Впрочем, с удалением могут возникнуть определенные трудности. Поэтому для 100% гарантии безопасности, целесообразней удалять такой софт вручную.

Чаще всего майнер-бот попадает в компьютер из-за скачивания и инсталляции пиратских видеоигр или других файлов, загруженных с torrent-трекеров. Если вы можете самостоятельно определить день, в который компьютер стал работать странно, то это заметно упрощает работу. Отыщите вредителя вручную и удалите зараженный файл.

В том случае, если вам действительно повезло, и на компьютер попал относительно простой майнер-бот, то и удалить его будет очень просто:

• Открываем «Диспетчер задач».
• Ищем подозрительные процессы, потребляющие много ресурсов.
• Если есть задача, использующая около 20% производительности, вероятно перед нами теневой майнер.
• Завершаем процесс и соглашаемся на то, что все несохраненные сведения будут утеряны.

Однако это единичный случай, зачастую все гораздо сложнее, поэтому такой простой процедурой обойтись не удастся.

Инструкция по борьбе со сложными скрытыми майнерами:

• Осуществляется проверка на наличие вирусов. Если вредоносная программа обнаружена, перегружаем ПК и заходим в BIOS. Такой подход позволяет управлять аппаратными устройствами без активации операционной системы.
• Открываем раздел Advanced Boot Options, некоторые версии Windows не позволяют выполнить это действие, в таких случаях жмем комбинацию Win+R и вводим
• Когда нужный раздел будет открыт, пользователь увидит огромное количество дополнительных опций, среди которых нужно выбрать – Safe Mode with Networking.
• Авторизация в системе с помощью учетной записи. Открываем браузер и заходим в интернет.
• Загружаем на компьютер антивирусный плагин, чтобы удалить программу, работающую как скрытый майнер. Трояны удаляются автоматически. Также такие программы заодно почистят реестр.

Отключение ненужных служб и спящего режима в ручном режиме

Увеличить быстродействие рига и уменьшить загрузку процессора и оперативной памяти можно так:

1. Отключить украшения, удаленного помощника, неиспользуемые службы;
2. Удалить лишние/неиспользующиеся компоненты Windows;
3. Удалить лишние программы из автозапуска;
4. Отключить спящий режим/гибернациию;
5. Отключить индексацию дисков, службу защиты программного обеспечения и контроля учетных записей;
6. Периодически производить очистку реестра и диска с установленной системой от ненужных записей/файлов;
7. Периодически дефрагментировать жесткий диск или оптимизировать SSD.

Отключение ненужных украшательств производится на вкладке свойств «моего компьютера», где по пути дополнительно – параметры — визуальные эффекты нужно активировать режим наилучшего быстродействия:

В окне свойств системы на вкладке удаленного доступа нужно отключить подключение удаленного помощника:

Для автоматизирования процесса деактивации других бесполезных служб и блокирования серверов обновления MIcrosoft стоит использовать сторонние утилиты, например, Destroy Windows Spying и/или Windows10MiningTweaksDmW.

Для деактивации бесполезных служб в ручном режиме нужно, нажав Win+R, ввести команду services.msc и отключить в окне администрирования служб все ненужное, например:

• WindowsSearch;
• Program Compatibility Assistant Service;
• Windows Biometric Service;
• Кортана;
• сервер;
• рабочая станция;
• клиент отслеживания изменившихся связей;
• WinHTTP Web Proxy Auto-Discovery Service;
• вторичный вход в систему;
• регистрация ошибок;
• перечислитель переносных устройств;
• автономные файлы;
• диспетчер печати, защищённое хранилище;
• служба ввода планшетного ПК;
• поддержка NetBIOS через TCP/IP;
• удалённый реестр;
• центр обеспечения безопасности;
• Auto Time Zone Updater;
• Delivery Optimization;
• темы;
• аудиослужбы.

Скриншот окна администрирования служб на компьютере, настроенном для майнинга:

Кроме того, периодически стоит проверять, что входит в автозагрузку компьютера. Для этого можно использовать официальную утилиту от Майкрософта Autoruns. В автозапуске Windows нужно оставлять только программы для майнинга, утилиты для разгона и Watchdog-и.

Скриншот информации утилиты Autoruns домашнего компьютера, использующегося для майнинга (в обычном риге антивирус не нужен):

Вирус-майнер

Программный вирус доставляет большие неудобства. Bitcoin miner – это наиболее распространенный вирус. Не хватит целой книги, чтобы рассказать обо всех разновидностях и классификациях. Заражается огромное количество компьютеров с целью заработка владельца вируса. Но большинство людей даже не задумываются о необходимости проверить компьютер и избавиться от вирусов.

Как он попадает на компьютер?

Есть три самых распространенных варианта, откуда следует начинать поиск майнеров.

В инсталлятор некоторых программ вставляют ПО для майнинга. При установке вируса майнинга не будет всплывать никакого сообщения. Вирус установится сам.

Файлы на наличие вирусов удобней всего проверять через специальные сайты. Иногда даже в безобидных программках находятся какие-либо вирусы. Надо смотреть, чтобы именно в файле не было майнера. Все остальное может быть ложным срабатыванием антивируса.

Такие вирусы, как cpuminer, проникают в файловые обменники под видом простенькой программы для добычи криптовалюты. После чего вирусы нагружают ПК майнингом.

Особенно часто можно встретить майнеры в репаках. Заметить появление майнера можно, например, так: игра, которая раньше выдавала 100 FPS, стала выдавать 20-30 FPS. Всегда работала нормально, но в какой-то момент очень сильно снизилась скорость. Нагрузка 100% идет на процессор и на видеокарту. Причина такой активности может стать установка игры вместе с майнером. При запуске игры никогда не понять, что с компьютера пользователя шла добыча криптовалюты для владельца вируса и его компьютер использовался мошенниками.

Майнеры могут работать очень хитро: например только во время игры или работы на компьютере. В настройках майнера чаще всего ставят слишком большой процент нагрузки на видеокарту и на процессор. Из-за этого в играх начинаются снижения FPS. Если установить небольшой процент, то можно не заметить, что компьютер тормозит. Чит майнерс вводится в программу для того, чтобы изменить ход ее работы. Когда запускают игру, процесс добычи криптовалюты идет на сторону.

Как это делается? Вставляется код, который запускает майнинг криптовалют через браузер посетителя сайта, без его разрешения и ведома. Ресурсы чужих компьютеров используются для заработка денег владельцу просматриваемого сайта или его модераторов.

Для этого выставляем сортировку по загрузке и смотрим, что грузится больше всего. Если одна из вкладок браузера нагружена не совсем стандартно, а намного больше — это ненормально. Значит, скорей всего, на просматриваемом сайте поселился вирус майнера. Идет нагрузка на ваш компьютер, расходуется ваше электричество. Понемногу комп зарабатывает деньги, но не вам.

Как найти и удалить майнер на компьютере

Зловредный вирус предстоит найти в своем железе и обезвредить. Но сначала надо хорошо понимать, как его обнаружить на компьютере. Если техника заражена майнером, она постоянно будет работать в максимальной загрузке.

Вирусописатели с компа пытаются выжать по полной, и, скорей всего, настройки будут максимальные. Работа в максимальном режиме, с мощной загрузкой процессора и видеокарты. Иногда загрузка может быть отдельно: только процессор, или одна видеокарта. Оборудование постоянно нагревается и быстро выходит из строя. От постоянного перегрева могут появиться проблемы с видеокартой, с материнской платой, с процессором.

Так майнер расходует чужие ресурсы.

Для проверки можно использовать GPU. Эта программа показывает занятые ресурсы видеокарты, обрабатывает части приложения, требующие большой вычислительной мощности. При этом остальная часть приложения выполняется на CPU для быстроты работы.

Как удалить miner из своего браузера

Чтобы удалить miner, который можно получить через свой браузер, используйте специальные плагины. Они выполняют отключение скриптов на сайте. Например, для браузеров, которые основаны на Google Chrome – это плагин Tampermonkey. Для браузера Mozilla Firefox есть хорошее дополнение NoScript.

Установите их себе на компьютер и отключайте выполнение скриптов майнера на неугодных сайтах. Все будет работать, но не будет работать скрипт майнера.

Скачивая пиратские игры

Буквально на днях нам принесли компьютер, компьютер обслуживался у нас, хозяин жаловался, что игра, которая раньше выдавала 100 FPS, стала выдавать 20-30 FPS, хотя оборудование компьютера не менялось и драйвера и Windows тоже. Человек установил более новую версию игры скачав ее с торрента, так называемый репак. Мы начали проверять и выяснили что при достаточно мощном компьютере, игра нагружала его на 100%. Нагружалось все процессор, видеокарта. Мы начали искать причину такой активности и выяснилось, что вместе с игрой человек установил вирус майнер. Работал он крайне хитро, только во время игры и понять, что майнер нагружает ПК было очень сложно, ведь игра тоже дает нагрузку. Скорее всего мошенники просто пожадничали и поставили в настройках майнера слишком большой процент нагрузки на карту и проц. Если бы этот процент был меньше, то хозяин и не заметил бы что его компьютер заражен вирусом майнера. А у вас начинали глючить игры, которые раньше шли нормально? Возможно это майнер! И таких случаев интернете валом можете сами поискать.

Как обнаружить и избавиться от майнера?

Существует два способа борьбы: ручной и автоматический. Рассмотрим, как работают оба способа на примере операционной системы Windows.

Ручное удаление

Способ №1

• Откройте Диспетчер задач. В Windows это можно сделать, нажав CTRL + ALT + DELETE, а потом перейти в раздел «Процессы» (Windows 7) или «Подробности» (Windows 10). Все они будут показывать одну и ту же информацию про использование ресурсов процессора разными программами и приложениями.
• Найдите программу со странным названием (обычно — хаотичный набор букв), которая расходует большую часть ресурса процессора (более 50% ЦП в течение длительного периода времени). Лучше это делать тогда, когда не запущены никакие другие программы – так картина будет более показательной.
• Загуглите найденное название, и, если не находите соответствующей информации, предпринимайте меры по его удалению.
• Нажмите комбинацию «WIN+R», откройте реестр и введите слово «redit», теперь — «Ок».
• Через комбинацию «Ctrl+F» откройте поиск и введите название подозрительной программы или приложения, нажмите «Найти далее».
• Все, что найдете в процессе поиска, успешно удаляйте с компьютера.
• Перезагрузите компьютер и проверьте его функциональность.

Так как удалить майнер не просто, к сожалению, этот способ не всегда оказывается действенным.

Способ №2

Если предыдущий метод оказался неэффективным, попробуйте сделать возврат системы до безвирусного  состояния Windows, по-другому это называется “откат системы”. Для этого необходимо, чтобы в системе существовала точка восстановления, созданная в тот момент,  когда заражение еще не произошло.

Для установки приоритета восстановления нужно сделать следующее:

1. Воспользуйтесь комбинацией клавиш «WIN+R» и в открывшемся окне наберите команду rstrui.exe. То же самое можно сделать через главное меню: «Программы – Стандартные – Служебные – Восстановление системы».
2. Выберите нужную точку восстановления и выполните откат на нее.

При успешном откате, в большинстве случаев, удается избавиться от опасного вируса без особых усилий.

Автоматическое удаление

Используйте антивирусные программы и приложения, которые предназначены для удаления вредоносного ПО в сфере майнинга криптовалют — SpyHunter, ReImage, Malwarebytes, McAfee, Sysinternals Suite от Microsoft и другие.
Также подойдут и стандартные антивирусы, как Comodo и DrWeb. DrWeb имеет версии для Windows, Mac, Linux и даже для Android. А создатели антивируса Comodo утверждают, что их сервис проводит сканирование, находит и  удаляет вредоносные программы для безфайлового майнинга.

Теперь о вредоносном ПО для майнинга криптовалют вы знаете достаточно, чтобы вовремя распознать «врага» и принять соответствующие меры. Кстати, последние модификации вируса майнинга могут способствовать пропаже личных данных, выводить операционную систему Windows из строя и открывать ходы для проникновения новых угроз. Так что держите руку на пульсе вместе с нами — а мы будем и дальше рассказывать о полезных и важных вещах из мира криптовалют.

Как обнаружить майнер на компьютере и удалить его с помощью специальной программы

При ответе на вопрос «как обнаружить майнер на компьютере» в голову сразу приходит набор самых популярных антивирусов. Однако, к сожалению, все не так просто. Современные вирусы могут не определяться как угрозы. При мониторинге защита может отнести их к потенциально опасным, но не более того.

Если на компьютере не установлен мощный антивирус, то для поиска майнеров подойдут лечащие утилиты. Одна из самых популярных – Dr.Web CureIt!, скачать ее можно совершенно бесплатно.

Без специального программного обеспечения тоже можно обойтись и попробовать удалить вирус вручную. Чтобы не стереть что-нибудь полезное, нужно быть уверенным, что найден именно майнер. Если сомнений нет, то необходимо открыть реестр, внеся в поиск Windows запрос «regedit» и в нем нажатием клавиш Ctrl + F запустить внутренний поиск.

В появившейся строке напишите название программы из «Диспетчера задач», которая, по вашему мнению, является вредоносной. Все обнаруженный объекты придется удалить, воспользовавшись меню. Затем нужно перезагрузить устройство и через «Диспетчер задач» проверить, улучшилась ли его работа.

Но как обнаружить майнер на компьютере, если вирус умело маскируется? В такой ситуации простые способы избавления от проблемы будут бессильны. Однако есть как минимум два решения этой задачи:

1. С помощью «Диспетчера задач»

   Шаг 1. Открываем последовательно «Панель управления» — «Управление» — «Диспетчер задач» — «Подробности».

   Шаг 2. Читаем перечень задач, ищем странности. Как правило, ботнет отличается от остальных несвязанным набором символов.

   Шаг 3. На странице «Действия» ищем запуск файла с названием из Шага 2.

   Шаг 4. Майнер может маскироваться под системное обновление. Для проверки можно написать название файла в поисковике и посмотреть, что он запускает.

   Шаг 5. С помощью поиска в реестре сначала находим все совпадения, потом удаляем файлы.

   Шаг 6. Перезагружаем компьютер.

2. С помощью программы AnVir Task Manager

   Обнаружить скрытый вирус поможет мультифункциональный диспетчер процессов AnVir.

   Шаг 1. Скачайте и установите мультифункциональный диспетчер процессов AnVir.

   Шаг 2. Откройте утилиту и с ее помощью изучите все активные процессы. Если какой-то из них покажется подозрительным, наведите на него курсор, чтобы появилась информация о программе.

   Запомните: некоторые вирусы могут маскироваться под системное приложение, но детали при этом не подделывают. Далее ПКМ → «Детальная информация» → «Производительность».

   Шаг 3. Выбираем «1 день» и смотрим на производительность ПК за этот период.

   Шаг 4. Если система была сильно нагружена каким-то процессом, то, наведя на него курсор, запишите его название и путь.

   Шаг 5. Нажимаем ПКМ → «Завершить процесс».

   Шаг 6. Пишем в поисковой строке Windows «regedit» и переходим в реестр.

   Шаг 7. Далее совершаем действия «Правка» → «Найти». Пишем название подозрительного файла и удаляем все совпадения.

   Шаг 8. Удаляем саму программу.

   Шаг 9. Проверяем систему антивирусом. Если будут найдены угрозы, то их нужно удалить.

   Шаг 10. Делаем перезагрузку ПК.

Если на первый взгляд кажется, что обнаружить майнер на компьютере очень сложно, то подумайте о том, что он ворует у вас не только электричество, но и ваши персональные данные. Если человек часто скачивает из интернета пиратский контент или непроверенные файлы, то ему регулярно нужно проводить серьезное сканирование ПК, иначе можно остаться без сбережений на банковском счете.

Конечно, компьютер может тормозить по объективным причинам, но признаком угрозы считается, если это происходит во время простоя или при выполнении простых задач, когда операционная система даже не загружена. Прислушивайтесь к работе охладительного оборудования. Оно не должно шуметь, когда нет нагрузки.

Если же появились признаки вмешательства злоумышленников в работу вашего ПК, то с ними нужно немедленно разобраться. Каким способом вы это сделаете – решать вам.

Зачем вам знать происхождение своих активов?

В отличие от бизнеса, на балансе которого обнаруживают подозрительные активы, само наличие “грязной” криптовалюты в кошельке пользователя не делает его преступником. Но подавляющее большинство криптобирж, которые не хотят проблем с законом, обязаны принимать меры, чтобы не допускать такие активы к торгам.

К таким мерам относятся процедуры верификации личности (KYC) и проверка законности происхождения средств (AML), которые уже давно применяются в бизнес-среде. В случае обнаружения в кошельке “грязных” токенов, пользователю самому придётся доказывать AML-офицерам биржи законность приобретения монет.

Представьте себе ситуацию: финансовый регулятор отслеживает крупную криптотранзакцию с нелегального маркетплейса и видит, что в какой-то момент средства небольшими порциями разошлись по случайным адресам. Новые владельцы монет начинают торговать ими на криптобиржах. Регулятор сразу посчитает, что этот попытка “отмыть” “грязную” крипту и немедленно отдаст приказ заблокировать все аккаунты с подозрительными средствами. Даже если эти средства попали в кошельки вполне порядочных инвесторов, все они рискуют надолго распрощаться со своей криптой, если не навсегда.

Как проверить компьютер на майнер

Самые первые симптомы, при которых следует незамедлительно начать поиск майнеров — это подвисания при стандартном использовании или при переходе на определенные сайты. Как правило, майнинг сопровождается чрезмерным нагревом оборудования и работой кулера на увеличенной скорости оборотов.

Самое простое действие, которое поможет найти майнер — открыть диспетчер задач. Для любой версии Windows для этого достаточно нажать комбинацию клавиш Ctrl+Alt+Del. С помощью данной встроенной функции вы можете мониторить нагрузку на ЦП, графические карты, отслеживать сетевую активность и любую задачу, выполняемую на ПК.

Чтобы проверить компьютер на наличие майнеров, прежде всего, внимание следует обратить на самые ресурсозатратные процессы. При майнинге загруженность ЦП и графической карты достигает 70-80%

К сожалению, найти майнер поможет далеко не каждый антивирус. Например, разработчики популярного антивируса Касперского признаются, что программы майнеры не относятся к выделенной ими категории Riskware ПО. Разработчики допускают, что многие могут устанавливать программы подобного типа на свое устройство осознанно, поэтому по умолчанию Касперский не удаляет подобный софт. Кроме того, антивирусы могут совершенно не работать, в случае, если речь идёт о браузером майнинге.

Браузерный майнинг легче всего распознать с помощью диспетчера браузера. В популярном браузере Chrome тоже есть диспетчер задач, который показывает какая вкладка сколько мощности потребляет. Чтобы открыть диспетчер задач в Хроме, нужно кликнуть правой кнопкой мыши в браузерном окне и выбрать соответствующую опцию.

Не всегда проверка диспетчера задач может помочь выявить процессы майнинга. Современные майнеры могут прятаться под привычные задачи, например, steam.exe.
В таком случае рекомендуется использоваться специальные программы по типу AnVir Task Manager, которые помогают вычислить работу майнеров за счет того, что показывают дополнительные сведения по каждому запущенному процессу.

Все подозрительные действия на ПК подсвечиваются красным, а кликнув по процессу, вы можете получить дополнительную информацию. Аналогичную информацию позволяет получить и сайт VirusTotal.

Еще одна полезная утилита, позволяющая найти скрытый майнер — Process Monitor. Скачать ее можно с официального сайта Microsoft. Программа показывает не только, какие процессы запущены на устройстве, но с какими сайтами они работают и позволяет определить точное нахождение вредоносного ПО в системе.

Скрытые майнеры запускают автоматически, поэтому следует проверить список программ с автозапуском. Легче всего осуществить это с помощью программ Autoruns, которая также представлена в официальном магазине Microsoft.

Стандартный «Диспетчер задач»

Стоит отметить, что есть еще такое явление как интернет майнинг. То есть в данном случае Вы не скачиваете приложения, а подвергаетесь риску, просматривая сайты, на которых установлены вредоносные скрипты. Таких ресурсов в сети очень много. В основном — это страницы с многотысячной аудиторией (торренты, пиратские онлайн-кинотеатры). Во время посещения таких страниц, Ваш ПК может сильно нагружаться.

Для блокировки советую использовать расширение Google Chrome – No Coin

Поэтому стоит открыть диспетчер задач, используя сочетание клавиш Ctrl + Esc + Shift , и сразу же обратить внимание на браузер. Если у вас открыто несколько вкладок, но при этом нагрузка на процессор и оперативную память, диск достигает 80 -100%, то попробуйте закрыть все сайты и посмотреть, как это повлияет на нагрузку

Вдруг ситуация сразу же изменится в лучшую сторону, значит дело было во вредоносном ресурсе, который содержит скрипт майнинга.

О подобном явлении и методах борьбы с ним я рассказывал в видео на канале IT Техник:

Если браузер не запущен, но нагрузка всё равно высокая, откройте диспетчер задач и понаблюдайте за процессами, которые ведут себя необычно (потребляет много ресурсов). При этом старайтесь ничего не делать (двигать курсор, открывать/закрывать окна и т.д.). Возможно, это системные задачи, к примеру, обновление Windows, которые прекратят свою активность через 5-10 минут. Но вдруг название процесса вам неизвестно, сначала советую воспользоваться поисковой системой Google или Яндекс, чтобы узнать побольше. Вполне вероятно, что вы имеете дело со скрытым майнером.

Еще один важный момент: некоторые вирусы-майнеры способны воздействовать на диспетчер задач, закрывая его через 30 секунд или одну минуту после запуска, или же вообще блокируют его открытие. Если такое происходит, значит вероятность 99.9 процентов, что вас майнят.

• В подобных ситуациях советую перейти на вкладку «Подробности», отыскать в первом столбике нужный элемент и записать его имя, просмотреть описание;
• Затем переходим в редактор реестра, вызвав консоль «Выполнить» (сочетанием клавиш Win+R) и вводим команду:

В открывшемся окне переходим в главное меню «Правка» и кликаем по пункту «Найти…». Вводим в форму искомое название вредоносного элемента:

Когда отобразиться результаты в правой части редактора, стоит удалить их поочередно. Но делать это стоит только при 100% уверенности в своих действиях. В обратном случае, рекомендую обратиться за помощью к специалистам, знающим своё дело: