Скрытый майнер: как найти и удалить его с компьютера

Что такое скрытый майнер

Скрытый майнер — вредоносная программа, которая тайно использует видеокарту или процессор, чтобы добывать криптовалюту для злоумышленника. Владельцу компьютера достаются шум, нагрев, тормоза и счета за электричество, а деньги уходят на чужой кошелёк.

Чаще всего майнер попадает на компьютер вместе с:

• взломанными играми и программами — репаками, кряками, активаторами;
• читами и «бесплатными» модами для игр;
• платными программами, скачанными с сомнительных сайтов;
• вложениями в письмах и файлами из мессенджеров.

Признаки скрытого майнера

• Вентиляторы шумят и компьютер греется, хотя вы ничего не запускали.
• Видеокарта или процессор загружены на 50–100% в простое.
• Нагрузка резко падает, когда вы открываете диспетчер задач, и возвращается, когда закрываете.
• Диспетчер задач сам закрывается или не открывается, антивирус отключён и не включается.
• Не открываются сайты антивирусов.
• Игры стали тормозить, FPS упал без видимой причины.
• Ноутбук быстро разряжается, компьютер перестал уходить в спящий режим.

Один признак — ещё не повод для паники: высокую нагрузку дают обновления Windows, индексация файлов или проверка антивирусом. Но если совпало несколько — проверяйте.

Как найти майнер: пошагово

1. Диспетчер задач

Нажмите Ctrl + Shift + Esc и откройте вкладку «Процессы». Отсортируйте список по столбцам «ЦП» и «GPU» (если столбца GPU нет — щёлкните правой кнопкой по заголовку таблицы и включите его). Подозрительны:

• незнакомые процессы с высокой нагрузкой;
• процессы с системными именами — svchost.exe, explorer.exe, dllhost.exe, csrss.exe — из необычных папок.

Щёлкните по процессу правой кнопкой и выберите «Открыть расположение файла». Системные файлы Windows лежат в C:\Windows\System32, а не в AppData, Temp или ProgramData.

2. Если майнер прячется

Многие майнеры останавливаются, как только видят диспетчер задач, и снова включаются, когда его закрывают. Чтобы их поймать:

• Скачайте Process Explorer с официального сайта Microsoft (набор Sysinternals) и переименуйте файл перед запуском — некоторые майнеры ищут его по имени. Process Explorer показывает дерево процессов, их цифровые подписи и умеет проверять файлы на VirusTotal (Options → VirusTotal.com → Check VirusTotal.com).
• Следите за температурой и оборотами вентиляторов видеокарты в простое — например, в HWiNFO. Если температура высокая при пустом рабочем столе, нагрузку что-то создаёт.

3. Автозагрузка, планировщик и службы

Если майнер возвращается после перезагрузки, значит, он прописан в автозапуске. Проверьте вкладку «Автозагрузка» в диспетчере задач, «Планировщик заданий» (taskschd.msc) и «Службы» (services.msc): ищите задачи и службы с бессмысленными именами, которые запускают файлы из AppData, Temp или ProgramData.

Удобнее всего — утилита Autoruns от Microsoft Sysinternals: она показывает все места автозапуска сразу. Включите Options → Hide Microsoft Entries, чтобы скрыть системные записи, и проверку на VirusTotal.

4. Сетевые подключения

Майнер подключается к майнинг-пулу. Утилита TCPView (тоже Sysinternals) показывает, какой процесс с каким адресом соединяется. Подозрительны адреса со словами pool, xmr, mine и подключения к портам 3333, 4444, 5555, 7777 или 14444 — их часто используют пулы.

5. Антивирусные сканеры

Запустите в Microsoft Defender автономную проверку (Безопасность Windows → Защита от вирусов и угроз → Параметры сканирования → «Автономное сканирование Microsoft Defender»). Она работает до загрузки Windows, поэтому майнеру негде спрятаться. Дополнительно проверьте компьютер бесплатными одноразовыми сканерами — Dr.Web CureIt!, Kaspersky Virus Removal Tool или Malwarebytes. Скачивайте их только с официальных сайтов.

Как удалить скрытый майнер

1. Отключите интернет, чтобы майнер не скачал себя заново.
2. Запустите автономную проверку Microsoft Defender и один из сканеров, удалите всё найденное.
3. Проверьте автозапуск в Autoruns и удалите оставшиеся подозрительные задачи и службы.
4. Если майнер мешает удалению — загрузитесь в безопасном режиме (зажмите Shift и нажмите «Перезагрузка» → Поиск и устранение неисправностей → Дополнительные параметры → Параметры загрузки) и повторите шаги.
5. Проверьте файл hosts (C:\Windows\System32\drivers\etc\hosts): майнеры дописывают туда адреса антивирусов, чтобы вы не могли открыть их сайты. Лишние строки удалите.
6. Смените пароли от почты, Steam и банка — с другого, чистого устройства: вместе с майнером часто приходит программа для кражи паролей.
7. Если ничего не помогает — переустановите Windows с официального образа Microsoft.

Как не заразиться снова

• Не скачивайте кряки, репаки и читы — это главный источник майнеров.
• Покупайте игры в официальных магазинах: в Steam часто бывают распродажи, а игры можно купить и на заработанное — см. статью «Из майнинга в Steam».
• Не отключайте антивирус по просьбе установщика.
• Обновляйте Windows, браузер и драйверы.
• Сомнительные файлы проверяйте на VirusTotal до запуска.

Честный майнинг: в чём разница

Майнинг сам по себе не вирус — всё решают согласие владельца и то, кому достаются деньги.

Антивирусы иногда помечают и легальные майнеры как «потенциально нежелательные программы» — именно потому, что такие программы подбрасывают на чужие компьютеры. Если вы хотите, чтобы компьютер зарабатывал для вас, а не для злоумышленника, — читайте статью «Как заработать на компьютере».

Итог