Вирус-майнер (майнер, Биткоин майнер) – это вредоносное программное обеспечение, основной целью которого является майнинг (mining) - заработок криптовалюты с использованием ресурсов компьютера жертвы. В идеальном случае, такое программное обеспечение должно работать максимально скрытно, иметь высокую живучесть и низкую вероятность обнаружения антивирусными программами. ”Качественный” вирус-майнер малозаметен, почти не мешает работе пользователя и с трудом обнаруживается антивирусным ПО. Основным внешним проявлением вирусного заражения является повышенное потребление ресурсов компьютера и, как следствие – дополнительный нагрев и рост шума от вентиляторов системы охлаждения. В случае ”некачественного” вируса-майнера, в дополнение к перечисленным симптомам, наблюдается снижение общей производительности компьютера, кратковременные подвисания или даже неработоспособность некоторых программ.
Что такое майнинг?
Слово ”майнинг” происходит от английского ”mining”, что означает ”разработка полезных ископаемых”. Майнинг - это не что иное, как процесс создания новых единиц криптовалюты (криптомонет) по специальному алгоритму. На сегодняшний день существует около тысячи разновидностей криптовалют, хотя все они используют алгоритмы и протоколы наиболее известного начинателя - Bitcoin .
Процесс майнинга представляет собой решение сложных ресурсоемких задач для получения уникального набора данных, подтверждающего достоверность платежных транзакций. Скорость нахождения и количество единиц криптовалюты, получаемых в виде вознаграждения, различны в системах разных валют, но в любом случае требуют значительных вычислительных ресурсов. Мощность оборудования для майнинга обычно измеряется в мегахешах (MHash) и гигахешах (GHash). Так как сложность майнинга наиболее дорогих криптовалют уже давно недостижима на отдельно взятом компьютере, для заработка используются специальные фермы , представляющие собой мощные вычислительные системы промышленного уровня и пулы майнинга - компьютерные сети, в которых процесс майнинга распределяется между всеми участниками сети. Майнинг в общем пуле - это единственный способ для простого пользователя поучаствовать в получении хотя бы небольшой прибыли от процесса создания криптомонет. Пулы предлагают разнообразные модели распределения прибыли, учитывающие в том числе и мощность клиентского оборудования. Ну и вполне понятно, что загнав в пул десятки, сотни и даже тысячи зараженных майнером компьютеров, злоумышленники получают определенную прибыль от эксплуатации чужого компьютерного оборудования.
Вирусы-майнеры нацелены на долговременное использование компьютера жертвы и при заражении, как правило, устанавливается вспомогательное ПО, восстанавливающее основную программу майнинга в случае ее повреждения, удаления антивирусом или аварийного завершения по каким-либо причинам. Естественно, основная программа настраивается таким образом, чтобы результаты майнинга были привязаны к учетным записям злоумышленников в используемом пуле. В качестве основной программы используется легальное программное обеспечение для майнинга, которое загружается с официальных сайтов криптовалют или специальных ресурсов пулов и, фактически, не являющееся вредоносным программным обеспечением (вирусом, вирусным программным обеспечением - ПО). Это же ПО вы можете сами скачать и установить на собственном компьютере, не вызывая особых подозрений у антивируса, используемого в вашей системе. И это говорит не о низком качестве антивирусного ПО, а скорее наоборот – об отсутствии событий ложной тревоги, ведь вся разница между майнингом, полезным для пользователя, и майнингом, полезным для злоумышленника заключается в том, кому будут принадлежать его результаты, т.е. от учетной записи в пуле.
Как уже упоминалось, главным признаком заражения системы майнером является интенсивное использование ресурсов какой-либо программой, сопровождающееся увеличением уровня шума системного блока, а также температуры комплектующих. При чем, в многозадачной среде, как правило, вирус работает с самым низким приоритетом, используя ресурсы системы только тогда, когда компьютер простаивает. Картина выглядит так: компьютер ничем не занят, простаивает, а его температура комплектующих и издаваемый вентиляцией шум напоминает игровой режим в какой-нибудь очень даже требовательной компьютерной стрелялке. Но, на практике наблюдались случаи, когда приоритет программ для майнинга устанавливался в стандартное значение, что приводило к резкому падению полезного быстродействия. Компьютер начинает жутко ”тормозить” и им практически невозможно было пользоваться.
Удаление майнера с использованием отката на точку восстановления
Самым простым способом избавления от нежелательного ПО является возврат предыдущего состояния Windows с использованием точек восстановления, часто называемый откатом системы. Для этого необходимо, чтобы существовала точка восстановления, созданная в тот момент времени, когда заражение еще не произошло. Для запуска средства восстановления можно воспользоваться комбинацией клавиш Win+r и набором команды rstrui.exe в открывшемся поле ввода. Или воспользоваться главным меню – ”Программы – Стандартные – Служебные – Восстановление системы”. Далее, выбираете нужную точку восстановления и выполняете откат на нее. При успешном откате, в большинстве случаев, удается избавиться от вируса без особых усилий. Если же нет подходящей точки восстановления или откат не привел к нейтрализации вируса, придется искать более сложные пути для разрешения данной проблемы. При этом можно воспользоваться стандартными средствами операционной системы или специализированными программами, позволяющими выполнять поиск и завершение процессов, получение сведений об их свойствах, просмотр и модификацию точек автозапуска программ, проверки цифровых подписей издателей и т.п. Такая работа требует определенной квалификации пользователя и навыков в использовании командной строки, редактора реестра и прочих служебных утилит. Использование же нескольких антивирусных сканеров разных производителей, программ для очистки системы и удаления нежелательного ПО может не дать положительного результата, и в случае с майнером – обычно не дает.
Поиск и удаления майнера с использованием утилит из пакета Sysinternals Suite
Сложность выявления программ, используемых для майнинга, заключается в том, что они не обнаруживаются большинством антивирусов, поскольку фактически не являются вирусами. Есть вероятность, что антивирус может предотвратить процесс установки майнера, поскольку при этом используются не совсем обычные программные средства, но если этого не произошло, искать и удалять вредоносную (с точки зрения владельца зараженного компьютера) программу, скорее всего, придется вручную. К сведению, в июне 2017г. средний уровень выявления вредоносности подобного ПО, например, средствами известного ресурса Virustotal составлял 15-20/62 – т.е. из 62 антивирусов, только 15-20 посчитали его вредоносной программой. При чем, наиболее популярные и качественные антивирусные программы в эту группу не входят. Для хорошо известных или обнаруженных относительно давно вирусов уровень выявления вредоносности может быть выше благодаря сигнатурам антивирусных баз данных и принятия некоторых дополнительных мер разработчиками антивирусных программ. Но все это далеко не всегда позволяет избавиться от вируса майнера без дополнительных усилий, которые потребуется приложить для решения проблемы.
Ниже рассматривается практический случай заражения системы вредоносным ПО для майнинга. Заражение произошло при использовании модифицированных игровых программ, загруженных с одного из недоверенных торент-трекеров. Хотя способ заражения мог быть и другим, как и для любого прочего вредоносного ПО – переход по ссылкам на непроверенных ресурсах, открытие почтовых вложений и т.п.
Набор вредоносных программ для майнинга в интересах злоумышленников реализует следующие функции:
Обеспечение своего автоматического запуска. Одна или несколько программ выполняют модификацию ключей реестра для автоматического запуска в случае непредвиденного завершения, перезагрузки или выключения питания. Периодически (приблизительно 1 раз в минуту) ключи реестра просматриваются и в случае их нарушения (удаления, изменения) - восстанавливаются.
Автоматического запуска программы для майнинга. Программа также запускается автоматически и параметры ее автозапуска отслеживаются и восстанавливаются одной или несколькими вспомогательными программами.
Пока в памяти компьютера выполняются процессы, обеспечивающие автоматический запуск, нет смысла удалять исполняемые файлы и записи в реестре – они все равно будут восстановлены. Поэтому, на первом этапе нужно выявить и принудительно завершить все процессы, обеспечивающие автоматический перезапуск вредоносных программ.
Для поиска и устранения вируса-майнера в современных ОС можно обойтись стандартными средствами или, например, более функциональным ПО из пакета Sysinternals Suite от Microsoft
- Process Explorer – позволяет просматривать подробные сведения о процессах, потоках, использовании ресурсов и т.п. Можно изменять приоритеты, приостанавливать (возобновлять) работу нужных процессов, убивать процессы или деревья процессов. Утилитой удобно пользоваться для анализа свойств процессов и поиска вредоносных программ.
- Autoruns – удобное средство контроля автозапуска программ. Контролирует практически все точки автоматического запуска, начиная от папок автозагрузки и заканчивая задачами планировщика. Позволяет быстро обнаружить и изолировать программы, запуск которых не желателен.
В качестве вспомогательного ПО можно также воспользоваться утилитой Process Monitor , которая в сложных случаях позволяет отслеживать активность конкретных программ с использованием фильтров (обращение к реестру, файловой системе, сети и т.п.) А также удобной для поиска файлов и папок утилитой SearhMyfiles от Nirsoft , главной особенностью которой является возможность поиска файлов и папок с использованием отметок времени файловой системы NTFS (Time stamp). В качестве критериев поиска, можно задавать диапазоны времени создания, модификации и доступа для файлов и папок (Created, Modified, Accessed). Если известно приблизительное время заражения или взлома, можно собрать полный список файлов, которые были созданы или изменены в заданный период.
Но повторюсь, для поиска и удаления майнеров, как правило, достаточно использования стандартных средств Windows - диспетчера задач и редактора реестра. Просто перечисленное выше ПО проще в использовании и удобнее для поиска вредоносных программ.
Cведения об использовании ресурсов системы, отображаемые Process Explorer:
Колонка CPU отображает степень использования центрального процессора различными процессами. System Idle Process - это не процесс, а индикация программой режима простоя (бездействия). В итоге видим, что процессор находится в режиме бездействия 49.23% времени, часть процессов используют сотые доли его ресурсов, а основным потребителем CPU является процесс system.exe - 49.90%. Даже при поверхностном анализе свойств процесса system.exe , заметны факты, которые вызывают обоснованное подозрение:
Странное описание (Description) – Microsoft Center
Странное имя компании (Company Name) – www.microsoft.com Прочие процессы, действительно имеющие отношение к Microsoft в качестве описания имеют строку Microsoft Corporation
Более подробный анализ выполняется через контекстное меню, вызываемое правой кнопкой мышки – пункт Properties:
Путь исполняемого файла ProgramData\System32\system.exe также является явно подозрительным, а переход в паку с исполняемым файлом при нажатии на соответствующую кнопку Explore показал, что и сама папка и исполняемый файл имеют атрибуты ”Скрытый” (”Hidden”). Ну, и параметры командной строки:
-o stratum+tcp://xmr.pool.minergate.com:45560 --donate-level=1 -u [email protected]*-p x -t 2 –k явно указывают на то, что процесс system.exe – это программа-майнер (для использования пулов pool.minergate.com).
Поле Autostart Location содержит значение n/a , что означает, что данный процесс не имеет точек автоматического запуска. Родительский процесс для system.exe имеет идентификатор PID=4928, и на данный момент не существует (Non existent Process ), что с большой долей вероятности говорит о том, что запуск процесса был выполнен с использованием командного файла или программы, которая завершила свою работу после запуска. Кнопка Verify предназначена для принудительной проверки наличия родительского процесса.
Кнопка Kill Process позволяет завершить текущий процесс. Это же действие можно выполнить с использованием контекстного меню, вызываемого правой кнопкой мышки для выбранного процесса.
Вкладка TCP/IP позволяет получить список сетевых соединений процесса system.exe:
Как видно, процесс system.exe имеет установленное соединение локальный компьютер – удаленный сервер static.194.9.130.94.clients.your-server.de:45560.
В данном реальном случае, процесс system.exe имел минимальный приоритет и почти не влиял на работу прочих процессов, не требующих повышенного потребления ресурсов. Но для того, чтобы оценить влияние на поведение зараженной системы, можно установить приоритет майнера равный приоритету легальных программ и оценить степень ухудшения полезной производительности компьютера.
При принудительном завершении процесса system exe, он снова запускается спустя несколько секунд. Следовательно, перезапуск обеспечивается какой-то другой программой или службой. При продолжении просмотра списка процессов, в первую очередь вызывает подозрения процесс Security.exe
Как видно, для запуска программы Security.exe используется точка автозапуска из стандартного меню программ пользователя, и выполняемый файл Security.exe находится в той же скрытой папке C:\ProgramData\System32
Следующим шагом можно принудительно завершить Security.exe , а затем – system.exe . Если после этого процесс system.exe больше не запустится, то можно приступать к удалению вредоносных файлов и настроек системы, связанных с функционированием вредоносных программ. Если же процесс system.exe снова будет запущен, то поиск вспомогательных программ, обеспечивающих его запуск нужно продолжить. В крайнем случае, можно последовательно завершать все процессы по одному, каждый раз завершая system.exe до тех пор, пока не прекратится его перезапуск.
Для поиска и отключения точек автозапуска удобно использовать утилиту Autoruns из пакета Sysinternals Suite:
В отличие от стандартного средства msconfig.exe, утилита Autoruns выводит практически все возможные варианты автоматического запуска программ, существующие в данной системе. По умолчанию, отображаются все (вкладка Everything), но при необходимости, можно отфильтровать отдельные записи по типам переключаясь на вкладки в верхней части окна (Known DLLs, Winlogon, … Appinit).
При поиске записей, обеспечивающих автозапуск вредоносных программ, в первую очередь нужно обращать внимание на отсутствие цифровой подписи разработчика в колонке Publisher. Практически все современные легальные программы имеют цифровую подпись, за редким исключением, к которому, как правило, относятся программные продукты сторонних производителей или драйверы/службы от Microsoft. Вторым настораживающим принципом является отсутствие описания в колонке Description. В данном конкретном случае, под подозрением оказывается запись, обеспечивающая открытие ярлыка Security.lnk в папке автозагрузки пользователя:
C:\Users\Student\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
Ярлык ссылается на файл c:\programdata\system32\security.exe
Отметка времени (Time Stamp) дает дату и время заражения системы - 23.06.2017 19:04
Любую из записей, отображаемых утилитой Autoruns, можно удалить или отключить, с возможностью дальнейшего восстановления. Для удаления используется контекстное меню или клавиша Del . Для отключения – снимается галочка выбранной записи.
Скрытую папку c:\programdata\system32\ можно удалить вместе со всем ее содержимым. После чего перезагрузиться и проверить отсутствие вредоносных процессов.
Английское слово miner – шахтёр, добытчик, а mining означает добыча. Обычно это применяется к различным разработкам природных ресурсов и к людям занимающимся этим, но существует цифровая альтернатива под таким же названием, хотя суть такая же.
На самом деле майнинг вовсе не обязательно является зловредной программой, существует целый класс заработка на этой добыче. Точно таким же образом как добываются ископаемые, работает и данная программа, она «добывает» для вас деньги, забирая при этом ресурсы видеокарты.
Основная информация о майнинге
Существует сеть электронной валюты под названием биткоины, также есть и подобные, но они менее известны. Она хорошо себя зарекомендовала благодаря стабильности и анонимности. На сегодняшний день цена на биткоин неуклонно растёт, а связано это с нестандартным способом ввода валюты. Бумажной альтернативы у неё нет, как у любой валюты, она существует только в интернете. Её нельзя просто вложить из реального мира, но постепенно количество увеличивается благодаря добыче.
Алгоритм увеличения количества биткоинов приблизительно следующий: автоматически создаётся задача, а она состоит и огромного количества блоков. В одном из них присутствует ключ, когда его кто-то находит, то получают определённое число биткоинов. Обычно над задачей работают целые сети майнеров, которые тратят свои ресурсы на обработку задачи, в основном необходима мощность видеокарты.
Изначально, чтобы работать в сети, было достаточно обычного домашнего компьютера и при этом получали солидные вознаграждения (на тот момент цена была не высока) в биткоинах. По мере развития дела начали увеличиваться количество майнеров и задача стала усложняться. Теперь при использовании майнинга на домашнем ПК, вы с трудом сможете оплатить расходы на электроэнергию. Существуют специальные компьютеры ASIC, которые созданы именно с этой целью, потребление существенно ниже, а мощность больше.
Найти ферму облачного майнинга легко, их полным полно в интернете. Есть люди, которые создают собственные фермы, но необходимы вложения, а другие просто привлекают третьих лиц, в данном случае вы и берут часть дохода себе.
Проблема же начинается, когда вы ничего и не знали о данном виде заработка, а наткнулись на вирус майнер, который без вашего ведома забирает системные ресурсы и приносит доход своему создателю. Другая трудность, когда компьютер лагает, но вы осознано хотите зарабатывать деньги и собственноручно установили программу, тогда вам нужна настройка майнера.
Попадает на ваш компьютер такой вирус вместе с другим обеспечением, которое вы загружали, поэтому вам не известно о его существовании в вашей системе, но существуют верные способы определить, что это именно майнер.
Вирус майнер, как определить?
Возможно вы столкнулись с такой неприятной проблемой, которая выражается в виде вируса майнера. Как его найти, определить и удалить мы разберём далее.
Итак, как обнаружить майнер? – самый первый и важный вопрос, чтобы наверняка знать в каком направлении вам двигаться. Обычно свидетельствуют о наличии майнера такие проблемы:
- Ваш компьютер лагает при использовании даже слабых игр, при том, что мощности более чем достаточно;
- В состоянии покоя, ПК использует по 50-100% ресурсов вашей видеокарты. Для проверки вы можете использовать программу GPU-Z, которая покажет занятые ресурсы вашей видеокарты;
- Повышенный шум от кулера на видеоадаптере даже без нагрузки.
Если у вас завёлся майнер на компьютере, то вы будете испытывать не какую-то одну проблему, а все одновременно, так как по отдельности они могут свидетельствовать о других сбоях. Дополнительно откройте «Диспетчер задач» нажатием Ctrl + Alt + Del и во вкладке процессы убедитесь, что нет элементов с названием mining или bitcoin, хотя они часто шифруются под другие системные процессы. Обычно такой элемент сильно грузит систему и его легко поэтому определить, только убедитесь, что это не системный файл, должно быть запущено от имени пользователя.
Способы борьбы с вирусом
После определения процесса и его истинной цели нам нужно узнать, как найти майнер и обезвредить его. Теперь вам нужно перейти в соответствующее меню и найти указанную программу:
- Нажмите Пуск и выберите «Панель управления»;
- Кликните по плитке «Программы и компоненты»;
- Найдите элемент с одноименным названием, выделите его и кликните по кнопке «Удалить».
Если этот способ не окажется рабочим, вам окажет помощь другой вариант как удалить майнер. Он актуален, если нужного пункта в меню просто нет, то есть программа скрывается от системы. Вам потребуется:
- В том же «Диспетчере задач» найти нужный процесс;
- Нажать правой кнопкой и выбрать «Открыть место хранения файла»;
- Теперь оставьте папку открытой и в том же меню выберите «Завершить дерево процессов», таких элементов может быть несколько, выполните для каждого;
- Удалите сам вирус и смежные с ним файлы.
Также советуем вам воспользоваться антивирусом, чтобы определить источник проблемы и залатать эту дыру в безопасности. По принципу многие антивирусные ПО не определяют майнер как проблему, но можете воспользоваться Dr. Web CureIt или SpyHunter.
Итак, сам по себе майнер не представляет опасности, но когда устанавливается без вашего ведома и тратит ваши ресурсы ради обогащений другого, то вам явно необходимо избавиться от такой программы и её можно назвать вирусом. Увы, но как и у любого другого вида заработка, мы можем столкнуться и с недобросовестными методами увеличения прибыли.
Если у Вас остались вопросы по теме «Что такое майнер?», то можете задать их в комментариях
if(function_exists("the_ratings")) { the_ratings(); } ?>
По разным данным от 7 до 10 млн компьютеров заражены скрытыми вирусами-майнерами. От вредоносного ПО страдает в основном Китай, Сингапур, Америка и Европа, в меньшей степени Россия. Около 25% компьютеров в России занимаются тайным майнингом. Официальной статистики нет, поскольку код вируса довольно сложно обнаружить. Какой вред способны принести эти программы, и как они используют вычислительные ресурсы чужого оборудования, чтобы заработать деньги своим создателям?
Программный вирус.
Большинство рядовых пользователей не знают, что за процесс называется майнингом, и поэтому не осознают, в чем опасность хакерских программ.
Теневой майнинг, говоря простым языком – это решение математических задач с помощью чужого процессора или видеокарты.
Скрытый майнинг проводится на любых устройствах, имеющих процессор:
- На смартфонах и планшетах, причем чаще всего от вируса-майнера страдает Андроид.
- На стационарных компьютерах и ноутбуках, наиболее уязвима операционная система Windows.
Пока ничего не подозревающий владелец техники занимается своими делами, работает с документами, смотрит фильм или играет в игру, злоумышленник получает криптовалюту за те уравнения, которые решил процессор.
Вирус самостоятельно передается от одного владельца к другому, и может заражать домашние и офисные компьютерные сети. Особенно много криптовалюты он приносит хакерам, когда попадает в банковскую систему или в научно-исследовательский центр, где стоит много мощных и круглосуточно работающих компьютеров.
Последствия заражения майнером
Зараженный код.
Майнинг требует больших затрат мощности компьютера или смартфона, то есть дает на технику сильную нагрузку. Вирус вызывает следующие последствия:
- Быстрый износ деталей. Особенно сильно это сказывается на процессорах.
- Перегрев. Повышение температуры приводит к замедлению и ухудшению работы устройства, компьютер или смартфон начинают тормозить, зависать, либо постоянно перезагружаться. В последнем случае хакеры, конечно, не получат свои деньги, но и человек не сможет нормально использовать технику.
- Поломка. Если смартфон или ПК имеют некачественные детали, то предельная нагрузка может вызвать перегорание контактов.
В специализированных майнинг-фермах и центрах большое внимание уделяется охлаждению вычислительной техники. Там есть качественная и бесперебойная подача тока, предохранители от скачков напряжения в сети. Майнеры стараются оптимально рассчитать нагрузку, чтобы АСИКи и видеокарты приносили прибыль, но при этом сохраняли работоспособность в течение длительного времени.
Хакеры же не щадят чужое оборудование и стараются выжать из него максимум. У домашних компьютеров и смартфонов нет качественной системы охлаждения, да она им и не нужна при обычном использовании. Владельцы обычно не следят за температурой процессора, и система не может себя охладить самостоятельно, в результате чего рано или поздно техника выходит из строя.
Вследствие работы вируса владельца компьютера ждет увеличение расходов на электроэнергию. Это в большей степени актуально для домашних сетей из двух и более вычислительных машин.
Виды вирусов-майнеров
Разновидности вредоносного ПО.
Есть 2 разновидности вредоносного ПО, занимающегося майнингом.
Браузерные вирусы представляют меньшую опасность, чем десктопные, поскольку вредоносный код не сохраняется на компьютер. Скрипт-майнер не так сильно перегружает процессор, но если человек посещает зараженный сайт регулярно, то вычислительная техника все равно получает ущерб.
Самая редкая разновидность вирусов – это мобильные, потому что у смартфонов не настолько мощный процессор, как у компьютера. Злоумышленникам заниматься майнингом через телефон менее выгодно.
Вирусы-вымогатели, которые похищают личные файлы пользователей, зашифровывают информацию и требуют за нее выкуп в криптовалюте, не относятся к майнерам.
Названия вирусов-майнеров не особенно часто упоминаются в прессе, потому что обнаружить и дифференцировать такое ПО непросто. Вот 3 известных семейства вирусов.
Хакеры постоянно совершенствуют свой код, создают новые решения.
Диспетчер задач.
Например, до 2017 года можно было обнаруживать майнеры с помощью Диспетчера задач. Это панель, показывающая нагрузку на процессор, чтобы ее вызвать в Windows, нужно нажать на клавиатуре Ctrl+Alt+Del и выбрать из списка «Показать диспетчер задач».
Современные десктопные вирусы научились моментально прекращать майнинг при запуске Диспетчера, чтобы их не смогли заметить по возросшей нагрузке на процессор. Браузерные скрипты так еще не делают, и если какая-то вкладка, в которой не загружается длинное видео в Full HD качестве, дает более 30% нагрузки на ЦП, то это сигнализирует о трояне.
Как можно заразиться вирусом?
Браузерные вирусы могут находиться на сайтах абсолютно любой тематики, не обязательно посвященных криптовалютам. В последнее время мошенники полюбили «женскую тему»:
- кулинарию;
- воспитание детей, отношения в семье;
- психологию;
- рукоделие и растениеводство;
- уход за домашними животными;
- здоровье и красоту, маникюр;
- астрологию, гадания Таро, мистику и т.д.
Посетительницы таких сайтов обычно хуже разбираются в компьютерах, чем, например программисты, и поэтому их легче использовать. Женщины могут много раз заходить на один и тот же веб-ресурс и давать злоумышленникам возможность зарабатывать снова и снова.
Браузерные вирусы часто устанавливают на сайты, на которых посетитель проводит больше 10 минут времени. Заражению подвергаются следующие виды веб-ресурсов:
- Онлайн-кинотеатры, особенно с полнометражными фильмами длительностью более часа.
- Сервисы по прослушиванию музыки онлайн.
- Онлайн-игры.
- Сервисы для рисования, создания шаблонов визиток и т.д.
Владельцы всех этих сайтов и не подозревают о том, что на их веб-ресурсе находится скрипт-майнер. Внести такой код могут не только хакеры, но и сотрудники, работающие на вебмастера, например, программист, верстальщик, контент-менеджер, любой человек, имеющий доступ к правам администратора сайта.
Второй вид вирусов, десктопный, заражает компьютеры при скачивании любых файлов и программ:
- фильмов и музыки;
- книг и других текстов;
- драйверов, например, для принтера и т.д.
Вирус-майнер можно скачать вместе с кошельком для хранения криптовалюты. Логика хакеров здесь понятна: если человек хочет скачать кошелек, то, вероятно, у него есть достаточно мощное оборудование для добычи криптовалюты, и на нем можно неплохо заработать.
Вредоносный код майнера могут объединять с другими программами, например, с теми, которые похищают деньги с кошелька или запоминают и передают злоумышленникам пароли, ПИН-коды, приватные ключи и seed-фразы.
Особенно часто вирусы-майнеры для видеокарт инсталлируют во взломанные компьютерные игры и читы к ним. Геймеры, правда, довольно быстро замечают нежелательный код по упавшему FPS (частоте кадров в секунду) и пытаются удалить такую игру, но вирус все равно остается в системных файлах.
Хакеры используют разные трюки для того, чтобы заставить человека скачать нужный им файл:
- Взлом аккаунтов в мессенджерах и социальных сетях. Всем знакомым пострадавшего пересылается некоторый файл, например, картинка с подписью «Смотри, как тебя тут смешно сфоткали!», текстовый файл с комментарием «Я давно тебе хотел это сказать, и вот наконец решился» или аудиодорожка «Мне эта песня напоминает о тебе, послушай обязательно!». Особенно слабо защищен Skype, который не дает просматривать файлы без скачивания.
- Рассылки по электронной почте. Хакеры хорошо разбираются в социальной инженерии и делают такие рассылки, которые человек не может проигнорировать. Это может быть, например, письмо из банка или из налоговой инспекции.
Скачав файл на компьютер, человек возможно поймет, что его обманули и запустит антивирус, но в случае с качественными вирусами-майнерами это не поможет.
Симптомы заражения, как распознать вирусы-майнеры
Диспетчер.
Заподозрить неладное можно по следующим признакам:
- У компьютера сильнее обычного шумит вентилятор. Таким образом система пытается охладить нагревающийся процессор. Это следствие работы майнеров на центральных процессорах и видеокартах.
- Тормозит видео или компьютерная игра. К такому результату приводят майнеры на видеокартах.
- При открытии трех и более вкладок в браузере падает скорость работы компьютера. Это признак браузерного вируса.
- Есть интересный класс вирусов, которые на 3-5 минут отключают Диспетчер задач. Если пользователь его открыл и отошел от компьютера, то спустя непродолжительное время программа его закроет, чтобы Диспетчер не мешал ей майнить. Важно знать о том, что самостоятельно Диспетчер закрываться не должен.
По мере износа железа система начинает перезагружаться, может перегореть, и заканчивается все это тем, что технику вообще невозможно включить. При этом, если сгорел процессор, то его можно заменить и снова получить доступ к своим файлам на жестком диске. Если же и жесткий диск пострадал от нестабильной работы электрической сети, то файлы полностью или частично будут утеряны.
Понять больше о симптомах заражения и о том, как избавиться от вируса-майнера, можно из этого интересного и полезного видео-обзора.
Принципы работы вируса-майнера
Вредоносное ПО работает по такому же принципу, как любые другие трояны:
- Попадает на компьютер и устанавливается на диск C или любой другой, на котором находятся системные файлы. Иногда установка происходит в папку temp, где хранятся временные файлы.
- Маскируется под служебную информацию, например, под обновление браузера, или создает папку Windows с русской буквой «о», чтобы отличаться от обычной папки операционной системы.
- Начинает и прекращает свою работу по заданному разработчиками алгоритму.
Вирусы даже могут обновлять свой код, маскируясь под обновление приложений браузера или драйверов.
Как найти на компьютере вирус майнер и удалить его?
Разобраться с вирусом можно по такой схеме:
- Провести комплексную диагностику.
- Провести удаление майнера криптовалюты с помощью антивирусной программы или вручную, если защитник не видит майнер. Для ручного удаления нужно понимать, какой конкретно файл заражен.
Если человек не очень хорошо разбирается в компьютерах, то лучше всего отнести технику на диагностику к профессионалам и не пытаться самостоятельно удалять вирус.
Как обнаружить скрытый вирус майнер, лучшие антивирусы 2018
Avast Free Antivirus.
AVG Antivirus.
Для сканирования можно воспользоваться такими программами:
- Avast Free Antivirus.
- IObit Malware Fighter.
- AVG Antivirus.
- Panda Antivirus.
- Dr.Web Antivirus.
Хорошие результаты при диагностике дают утилиты, например, AIDA64. Она предоставляет подробный отчет в формате HTML, в котором содержится информация обо всех установленных программах и состоянии ОС в целом.
Как удалить вирус майнер с компьютера, пошаговая инструкция для новичков
Advanced Boot Options.
После запуска сканирования антивирус покажет, какое вредоносное ПО он обнаружил, где находится троян, и предложит его удалить. Ничего сложного в такой процедуре нет, справится даже смелая бабушка.
Удаление вируса-майнера можно провести еще надежнее:
- Перезагрузить компьютер, при включении нажать клавишу F8 несколько раз. Это вызовет BIOS (консоль с черным экраном).
- Выбрать Advanced Boot Option, затем Safe Mood with Networking. Это безопасный режим.
- Появится практический обычный экран, на котором будет значок браузера. Запустить его, скачать качественный антивирус из упомянутых.
- Провести диагностику всей системы и отдельно системных папок. Удалить все ПО, которое антивирус маркирует как подозрительное.
- Перезагрузить компьютер, открыть Диспетчер задач, проверить работу системы на просмотре фильма в HD, убедиться, что кулер не шумит больше обычного.
Есть файлы, которые вообще не видны обычному пользователю. Например, в этом видео, блоггер наглядно показывает такие скрытые папки, и описывает, как проводить диагностику утилитой AIDA64, и как удалять вредоносное ПО.
В некоторых обзорах встречаются описания удаления конкретных файлов, содержащих вирус-майнер. Такая информация практически бесполезна, поскольку разновидностей вредоносных программ множество, и название файла может быть абсолютно любым. Если человек не очень хорошо разбирается в том, как должны выглядеть и называться нормальные программные файлы, то не стоит искать какой-то конкретный документ вручную и тратить на это время.
Есть люди, которые добывают эту «криптовалюту» честным путём, покупают оборудование, а есть люди, которые делают это с помощью других.
На днях один пользователь начал жаловаться на то, что его компьютер стал сильно тормозить. Просмотрев логи антивируса и журнал компьютера я заметил, что на его компьютер установилась странная программа в профиль пользователя IMG002 и начала грузить процессор. Пользователь поймал Miner Bitcoin. Проведя анализ, я хочу с вами поделится, что же поймал пользователь и как с этим бороться.
Trojan.CoinMiner - это большая семья троянских вирусов, которые уже заразили миллионы компьютеров. Trojan.CoinMiner чрезвычайно опасный троянский конь, который глубоко вторгается в вашу систему. Программа проникает на компьютер обманным путем и использует его возможности в целях владельца. Главной задачей трояна является майнинг криптовалюты за счет чужих ресурсов. Скачать и установить Биткоин майнер можно случайно - программа часто имеет вид фотографии или файла Word. При этом червь не только «выкачивает» ресурсы из компьютера, но и крадет личную информацию, что для пользователя может быть еще опасней.
Программа Bitcoin miner была создана людьми, которые ставили задачей подключить к работе как можно большее число ПК и повысить заработок Bitcoin. Злоумышленники исходили из факта, что многие люди используют ресурсы «машин» на 10-20%. При добыче криптовалюты мощности потребляется больше - до 80-100%. Сегодня каждый пользователь сети без ведома для себя может превратиться в майнера. Разница только в том, что такой человек не будет получать прибыль - она достается тому, кто «инфицировал» компьютер. Сам ПК превращается в робота по добыче криптовалюты. Система Биткоин вознаграждает «шахтеров» и в качестве бонуса предоставляет 25 Bitcoin за один добытый блок. Собственно, благодаря активной деятельности майнеров и обработке проводимых транзакций и обеспечивается работоспособность всей структуры.
После скачивания и инсталляции Биткоин майнера ПК нагружается на максимум. При этом владелец компьютера-жертвы может и не заметить, что ресурсы компьютера кто-то «качает». Распознать же вирус несложно - коэффициент загрузки компьютера возрастает в несколько раз. Притом что «тяжелые» программы могут быть закрыты. Главная задача злоумышленника, который инфицирует компьютер - сделать преступление менее заметным и заставить пользователей перейти по коварной ссылке. Как только программа скачана, возможности ПК переходят в собственность хакера. При этом преступник может решать множество задач, начиная с майнинга криптовалюты и заканчивая сбором личной информации.
К слову, троян Miner Bitcoin - далеко не единственная программа такого рода. До его появления антивирусным программам уже удавалось находить массу червей, использующих ресурсы ПК для собственных целей. Одним из таких является Badminer - программа, которая отыскивала блоки обработки информации в ПК и применяла их в добыче криптовалюты. Компьютер не способен сам по себе добывать Bitcoin. Но для хакеров не существует невозможного. Специалисты по компьютерам находят взломанные «машины», имеющие определенную историю добычи криптовалюты, и отправляют туда свои вирусы. Если злоумышленнику удается подобрать ключ к более чем миллиону компьютеров, то его затраты (временные и финансовые) окупаются в полном объеме.
Trojan.CoinMiner - это общее название для всех вирусов данного типа.
Есть еще несколько подобных симптомов, как вирус попадает в вашу систему:
Случайное приложение загружает ЦП почти на 100%
Ваш компьютер начинают работать медленно или замораживания каждый раз.
Все веб-сайты загружаются дольше, чем обычно.
Ваш компьютер или ноутбук от перегрева, выключить или перезагрузить.
Также, Если ваш компьютер заражен, Вы можете проверить эту папку на вашем компьютере:
С:\Users(Ваше имя пользователя)\AppDataRoaminghodl
С:\Users(Ваше имя пользователя)\AppDataRoamingETH
С:\Users(Ваше имя пользователя)\AppDataLocalEthash
Последний каталог часто может занять несколько гигабайт на вашем компьютере. Этот вирус может дать удаленный доступ к вашему ПК, так что создатель Trojan.CoinMiner можно легко контролировать ваш компьютер и вы ничего не видел.
Часто можно заметить, что вы заразить с этим вирусом, если вы видите cmd.exe или Engine.exe (также известен как - sgminer.exe или SGM.exe ) в диспетчере задач. Эти процессы загружают процессор на 100% и ваш компьютер начинает работать медленнее или просто кратковременно зависает.
И если посмотреть в диспетчер задач, то мы увидим.
Как же антивирусы реагируют на данный вирус?
Как же избавится от данной заразы?
Первым делом конечно же стоит отключить данный компьютер от сети, но у меня такой возможности не было т.к компьютер находится далеко, и я добавил сайты куда ломится вирус в прокси-сервер тем самым перекрыл ему доступ.
Затем пошёл на сайт nod 32 для скачивания nod 32
И делаем загрузочную флешку. Как сделать загрузочную флешку мы рассказывали в нашем уроке « ».
И проверяем компьютер на наличие вирусов. NOD 32 отлично справляется в данной задачей.
Но бывает и другая ситуация как моя, компьютер находится далеко и нет возможности, тогда в данном случае нам поможет KVRT (Kaspersky Virus Removal Tool)
К сожалению, на официальном сайте я не нашёл актуальной версии антивируса, и перешёл по другой ссылке и скачал актуальный
Из-за большого количества файлов на компьютере проверка компьютера затянулась. Но после проверки, и перезагрузки компьютер стал стабильно работать.
Вывод:
Пользователям сети стоит быть осторожными со скачиванием и инсталляцией подозрительных файлов, а также при работе с торрент-клиентами. В противном случае компьютер может превратиться в «робота», занимающегося только добычей Биткоинов. Надеюсь что мы помогли кому то избавится от данного вируса и в случае попадания на удочку, вы будите знать что делать.
О том, что антивирусная компания ESET отметила рост распространенности браузерного майнера, который добывает криптовалюту без ведома пользователя. Более того, по данным за декабрь прошлого года он возглавил рейтинг белорусских киберугроз. В нашем материале мы расскажем, как распознать, что кто-то использует ваш компьютер в корыстных целях, и избавиться от скрытого майнинга.
Браузер или компьютер
Напомним, майнинг — это процесс добычи криптовалюты с помощью сложных вычислений, которые проходят на компьютере. На данный момент есть два основных способа «зловредного майнинга».
В первом случае программа-майнер скрыто устанавливается на ваш компьютер и начинает постоянно использовать его мощности — процессор и видеокарту. Во втором случае, и именно об этом предупреждает ESET, майнинг происходит только тогда, когда вы заходите на зараженный сайт («браузерный майнинг»).
Разумеется, первый способ для злоумышленников гораздо предпочтительнее, пусть и более сложный — ведь компьютер для начала нужно как-то заразить. Второй — проще, а нужную мощность злоумышленники «добирают» за счет большого числа пользователей, заходящих на сайт.
Главный симптом
Самый первый (и главный) симптом, по которому вы можете заподозрить майнинг — компьютер начинает постоянно «подтормаживать» в безобидных ситуациях. Например, когда у вас всё время шумит кулер, нагревается или зависает ноутбук в то время, как на нем запущен лишь браузер с тремя вкладками.
Понятно, что такие симптомы характерны не только для майнинга — у вас в этот момент просто может быть запущен «тяжелый» фоновый процесс (например, обновляться ПО). Но если компьютер работает в подобном нагруженном режиме постоянно — это серьезный повод для подозрений.
К сожалению, только на антивирусы здесь полагаться не стоит. Вот, что, например, пишет по поводу таких программ «Лаборатория Касперского»:
Майнеры — программы не зловредные. Потому они входят в выделенную нами категорию Riskware — ПО, которое само по себе легально, но при этом может быть использовано в зловредных целях. По умолчанию Kaspersky Internet Security не блокирует и не удаляет такие программы, поскольку пользователь мог установить их осознанно.
Антивирус может не сработать и в случае скрытого браузерного майнинга.
Как обнаружить майнера?
Самый простой способ, который можно попробовать для выявления зловредного процесса, «съедающего» все ресурсы вашего компьютера, — запуск встроенного в систему диспетчера задач (В Windows он вызывается сочетанием клавиш Ctrl+Shift+Esc).
Диспетчер задач в Windows
Если вы увидите, что какой-то непонятный процесс очень сильно — на десятки процентов — загружает процессор (колонка ЦП на картинке выше), а вы при этом не запустили «тяжелую» игру и не монтируете видео, — это вполне может оказаться майнингом.
Кстати, свой диспетчер задач есть и в популярном у белорусов Chrome — для его запуска нужно щелкнуть правой кнопкой мыши на свободной от вкладок области над адресной строкой и выбрать соответствующий пункт. Тогда вы и увидите, какая вкладка — виновник загрузки компьютера.
К сожалению, далеко не всегда диспетчер задач может оказаться полезным. Современные майнеры умеют, например, приостанавливать работу при его запуске или «прятаться» в стандартные процессы, вроде svchost. exe, chrome. exe или steam.exe.
В таком случае можно использовать дополнительный, более продвинутый софт — например, программу AnVir Task Manager.
С ее помощью гораздо проще выявлять подозрительные процессы. Все неопределенные строки подсвечиваются красным и о каждом процессе (в том числе скрытом!) можно получить максимальную информацию, но самое главное — любой запущенный у вас процесс можно проверить на сайте VirusTotal.
И что с ним делать?
Проще всего, если майнинг происходит при открытии зараженного сайта. В этом случае вам просто нужно закрыть эту вкладку в браузере.
Хуже, если программа-майнер попала на ваш компьютер. В этом случае можно для начала попробовать закрыть вредоносный процесс в диспетчере задач и удалить его из автозагрузки, однако, как правило, не всё так просто .
У майнеров могут быть н естандартные способы запуска, н аличие двух процессов, которые перезапускают друг друга в случае попыток их завершить. Кроме того, может быть инициирована п .
На помощь здесь должны прийти антивирусные программы. Если по каким-то причинам антивирус не «отлавливает» майнера в стандартном режиме, можно попробовать записать на флешку портативный бесплатный сканер, например, Web CureIt! или Kaspersky Virus Removal Tool и загрузить компьютер в безопасном режиме.
Для его запуска (на Windows, кроме «десятки») нужно при загрузке несколько раз нажать на клавишу F8 и выбрать необходимый вариант. В Windows 10 при перезагрузке этого сделать нельзя. Поэтому нужно открыть окно «Выполнить» (сочетание клавиш Win+R), ввести там команду msconfig, затем выбрать раздел «Конфигурация системы», «Загрузка» и выставить безопасный режим, после чего перезагрузить компьютер.
Загрузившись в безопасном режиме, нужно запустить антивирусный сканер с флешки.
Как мы писали выше, не всегда антивирусы считают программы-майнеры вредоносным софтом — ведь вы можете майнить и для себя.
Но, например, «Антивирус Касперского» выделяет их в категорию Riskware (ПО с риском). Чтобы обнаружить и удалить объект из этой категории, необходимо зайти в настройки защитного решения, найти там раздел «Угрозы и обнаружение» и поставить галочку напротив пункта «Другие программы». Схожее решение предлагает и ESET — для выявления майнеров (в том числе и на посещаемых сайтах) нужно включить в настройках обнаружение потенциально нежелательных приложений.
Если майнинг продолжается и после этих манипуляций, можно попробовать и более радикальный метод — переустановку операционной системы.
Как предохраниться?
Если речь идет о браузерном майнинге, то помимо антивирусных решений, определяющих зловредные javascript на сайтах, уже появились расширения браузера, позволяющие засечь майнеров — например, No Coin или Mining Blocker.
Если вы не хотите, чтобы программа-майнер попала на ваш компьютер, то регулярно устанавливайте обновления, предлагаемые операционной системой, и обязательно используйте антивирусные программы с включенным мониторингом.
Здесь нужно помнить, что антивирусы могут не обнаружить программу-майнер, но почти наверняка зафиксируют программу-дроппер, главная цель которой — скрыто установить майнер. В дополнение к антивирусу можно добавить пару старых, но по-прежнему эффективных советов — не кликайте на подозрительные ссылки в Сети и не открывайте приходящий в почту спам.
Также помните, что с установкой легального софта вероятность получить в довесок майнер ничтожно мала. Тогда как при скачивании взломанных программ или «краков» этот риск сильно увеличивается.
А что со смартфонами?
Смартфон — это тоже компьютер, поэтому и схемы злоумышленников здесь схожи. Например, в конце прошлого года специалисты по безопасности в Google Play вредоносное ПО, которое использовало мобильные гаджеты для майнинга криптовалют без ведома владельца.