Почему майнер попадает под подозрение
Майнер считает хеши и ничего особенного больше не делает. Беда в том, что именно такие программы злоумышленники подбрасывают на чужие компьютеры, а по коду файла антивирус не может понять, кто его запустил: владелец или взломщик.
Поэтому антивирусные компании относят майнеры к потенциально нежелательным программам, сокращённо PUA или PUP. В ту же корзину попадают утилиты удалённого доступа и средства сброса паролей: сами по себе они законны, но ими часто злоупотребляют. Смысл метки простой: проверьте, вы ли это ставили.
Разница с настоящим вирусом хорошо видна на простом сравнении:
| Вопрос | Нежелательная программа | Вирус или троян |
|---|---|---|
| Кто запускает | Обычно сам пользователь | Злоумышленник, без спроса |
| Что делает | Заявленную работу | Прячется, крадёт данные, работает на чужой кошелёк |
| Можно ли выключить | Да, как обычную программу | Мешает остановке и удалению |
Некоторые компании идут дальше и называют майнеры троянами: один и тот же открытый майнер встречается и в честных программах, и во вредоносных сборках, а различить их по одному файлу трудно.
FlowHash сам скачивает майнер, поэтому антивирус нередко молчит при загрузке программы и срабатывает позже, когда на диске появляется файл майнера.
Первые три минуты после уведомления
- Не спешите с кнопками. Ни разрешать, ни удалять сразу не нужно, сначала прочитайте запись целиком.
- Откройте журнал. В Защитнике Windows это «Защита от вирусов и угроз» → «Журнал защиты». Там указаны название угрозы, дата и путь к файлу. В других антивирусах ищите карантин или отчёты.
- Проверьте три условия. Майнер запускали вы сами, файл лежит в папке программы, в названии нет слов о краже данных.
Если все три совпали, перед вами обычное срабатывание на майнер. Не совпало хотя бы одно — переходите к разделу о настоящей тревоге.
Как прочитать название угрозы
Имя угрозы выглядит как набор меток: PUA:Win32/CoinMiner, not-a-virus:RiskTool.Win64.BitCoinMiner, Trojan:Win32/Wacatac.B!ml. Формат у каждого антивируса свой, но слова повторяются. Последний пример читается так: категория Trojan, платформа Windows, семейство Wacatac, а суффикс !ml говорит о срабатывании машинного обучения.
| Что написано | Что это значит | Как реагировать |
|---|---|---|
| PUA, PUP, not-a-virus, RiskTool, Tool | Нежелательная, но не обязательно вредоносная программа | Ожидаемо, если майнер ваш и файл с официального сайта |
| CoinMiner, BitCoinMiner, BtcMine, Miner | Семейство: программа майнит | Смотрите на категорию рядом с этим словом и на папку |
| Trojan, Trojan.CoinMiner | Антивирус считает файл вредоносным | У майнеров встречается, но проверьте источник и VirusTotal |
| Generic, Heur, Suspicious, суффикс !ml | Эвристика или машинное обучение, точного совпадения нет | Проверьте на VirusTotal |
| Stealer, Spy, Banker, Backdoor, Ransom | Кража данных, удалённое управление, шифровальщик | В исключения не добавлять, сразу к разделу о настоящей тревоге |
Посмотрите и на путь к файлу в той же записи. Майнер FlowHash находится в папке %LOCALAPPDATA%\FlowHash. Та же угроза в другом месте означает совсем другую ситуацию.
Майнер удалён: как вернуть его правильно
Если антивирус удалил майнер, программа скачает его заново, и единичное срабатывание на этом может закончиться. Пока файла нет, хешрейт падает до нуля или программа показывает ошибку, и видеокарта здесь ни при чём. Удалять файл раз за разом бессмысленно: программа скачает его снова, и уведомление вернётся. При повторах добавьте папку в исключения. Порядок для Защитника Windows такой:
- Убедитесь, что программа скачана с flowhash.pro. Если не помните, откуда она, удалите файл и скачайте заново.
- Откройте «Безопасность Windows» → «Защита от вирусов и угроз».
- В блоке параметров защиты нажмите «Управление настройками».
- Прокрутите страницу до раздела «Исключения» и выберите «Добавление или удаление исключений».
- Нажмите «Добавить исключение» → «Папка», вставьте в адресную строку окна
%LOCALAPPDATA%\FlowHashи подтвердите выбор. - Перезапустите майнинг.
Кнопка «Разрешить на устройстве» в журнале защиты относится к конкретному срабатыванию. Если майнер обновится или программа подберёт другой, предупреждение вернётся, поэтому исключение папки надёжнее.
В других антивирусах нужный раздел обычно называется «Исключения», «Угрозы и исключения» или «Доверенная зона». Названия зависят от версии, но логика везде одна: добавить папку и перезапустить майнинг.
Исключение снимает проверку со всей папки, поэтому добавляйте только её и только для программы с официального сайта. Весь диск или всю папку AppData исключать нельзя: так вы открываете дорогу настоящим вредоносам. Полностью выключать антивирус тоже незачем.
После этого один раз запустите полную проверку компьютера. Если антивирус находит что-то за пределами папки FlowHash, это отдельная находка, и разбираться с ней нужно отдельно.
VirusTotal: как смотреть на результат
VirusTotal прогоняет файл через десятки антивирусных движков и показывает все вердикты на одной странице. Откройте сайт сервиса, перетащите файл в окно и дождитесь результата. Если файл уже проверяли другие, вы увидите прошлый анализ, и его можно запустить заново.
Счётчик срабатываний сам по себе мало что значит, читайте названия.
- Спокойная картина. Несколько движков пишут PUA, RiskTool или Miner, остальные молчат. Для программы-майнера это типично.
- Повод присмотреться. Часть движков пишет Trojan или Generic. Проверьте источник файла и папку, в которой он лежит.
- Плохая картина. Много движков сходятся на Stealer, Backdoor, Ransom или на одном вредоносном семействе.
Ноль срабатываний чистоту не доказывает: совсем свежий вредонос сервис может ещё не знать. Загружайте только файлы программ. Всё загруженное становится доступно антивирусным компаниям, поэтому документы с личными данными туда отправлять нельзя.
Когда тревога настоящая
Всё сказанное выше относится к майнеру, который вы запустили сами. Ситуация другая, если совпал хотя бы один из признаков:
- вы не ставили майнер или не помните, откуда он взялся;
- файл найден в Temp, ProgramData, папке Windows либо носит системное имя вроде svchost.exe в необычном месте;
- в названии угрозы есть Stealer, Spy, Backdoor или Ransom;
- видеокарта или процессор нагружены, хотя FlowHash остановлен или закрыт;
- сам выключается антивирус, закрывается диспетчер задач, не открываются сайты антивирусов;
- программа пришла вместе с кряком, читом или «ускорителем хешрейта».
В этих случаях никаких исключений. Отключите интернет и действуйте по инструкции про скрытый майнер, а пароли меняйте с другого устройства. Программы с обещанием удвоить хешрейт разобраны в статье об обмане в майнинге.
Если исключение не помогло
Сначала убедитесь, что исключение относится к нужной папке: нажмите Win + R, вставьте %LOCALAPPDATA%\FlowHash и посмотрите, открылась ли она. Заодно проверьте, что запущен один файл с официального сайта: это около 2 МБ, установка ему не нужна.
FlowHash вы запускаете сами: майнинг виден, выключается кнопкой, а программа ничего не прячет. Если после добавления папки майнер всё равно пропадает или программа сообщает, что он упал, напишите в поддержку из кабинета. Приложите название угрозы, название антивируса и путь к файлу из журнала.
Некоторые антивирусы режут уже страницу загрузки или сам файл. Проверьте адрес в браузере: это должен быть flowhash.pro. Если адрес верный, а загрузка всё равно блокируется, отключать защиту не нужно, лучше напишите в поддержку.
На рабочем компьютере антивирусом управляет организация. Просить исключение ради майнинга там бессмысленно, а запускать майнинг без согласия владельца нельзя. Если ещё до антивируса появилось синее окно Windows, разобраться поможет статья про SmartScreen.
Файл проверен, можно считать
Калькулятор покажет прогноз для вашей видеокарты и процессора, чтобы решить, нужен ли майнинг на этом компьютере.