Прихований майнер: як знайти й видалити його з комп’ютера

Що таке прихований майнер

Прихований майнер — шкідлива програма, яка таємно використовує відеокарту чи процесор, щоб добувати криптовалюту для зловмисника. Власникові комп’ютера дістаються шум, нагрів, гальма й рахунки за електрику, а гроші йдуть на чужий гаманець.

Найчастіше майнер потрапляє на комп’ютер разом із:

• зламаними іграми й програмами — репаками, кряками, активаторами;
• читами й «безкоштовними» модами для ігор;
• платними програмами, завантаженими із сумнівних сайтів;
• вкладеннями в листах і файлами з месенджерів.

Ознаки прихованого майнера

• Вентилятори шумлять і комп’ютер гріється, хоча ви нічого не запускали.
• Відеокарта чи процесор завантажені на 50–100% у простої.
• Навантаження різко падає, коли ви відкриваєте диспетчер завдань, і повертається, коли закриваєте.
• Диспетчер завдань сам закривається або не відкривається, антивірус вимкнений і не вмикається.
• Не відкриваються сайти антивірусів.
• Ігри почали гальмувати, FPS упав без видимої причини.
• Ноутбук швидко розряджається, комп’ютер перестав переходити в режим сну.

Одна ознака — ще не привід для паніки: високе навантаження дають оновлення Windows, індексація файлів чи перевірка антивірусом. Але якщо збіглося кілька — перевіряйте.

Як знайти майнер: покроково

1. Диспетчер завдань

Натисніть Ctrl + Shift + Esc і відкрийте вкладку «Процеси». Відсортуйте список за стовпцями «ЦП» і «GPU» (якщо стовпця GPU немає — клацніть правою кнопкою по заголовку таблиці й увімкніть його). Підозрілі:

• незнайомі процеси з високим навантаженням;
• процеси із системними іменами — svchost.exe, explorer.exe, dllhost.exe, csrss.exe — з незвичних папок.

Клацніть по процесу правою кнопкою й виберіть «Відкрити розташування файлу». Системні файли Windows лежать у C:\Windows\System32, а не в AppData, Temp чи ProgramData.

2. Якщо майнер ховається

Багато майнерів зупиняються, щойно бачать диспетчер завдань, і знову вмикаються, коли його закривають. Щоб їх зловити:

• Завантажте Process Explorer з офіційного сайту Microsoft (набір Sysinternals) і перейменуйте файл перед запуском — деякі майнери шукають його за іменем. Process Explorer показує дерево процесів, їхні цифрові підписи й уміє перевіряти файли на VirusTotal (Options → VirusTotal.com → Check VirusTotal.com).
• Стежте за температурою й обертами вентиляторів відеокарти у простої — наприклад, у HWiNFO. Якщо температура висока при порожньому робочому столі, навантаження щось створює.

3. Автозавантаження, планувальник і служби

Якщо майнер повертається після перезавантаження, значить, він прописаний в автозапуску. Перевірте вкладку «Автозавантаження» в диспетчері завдань, «Планувальник завдань» (taskschd.msc) і «Служби» (services.msc): шукайте завдання й служби з безглуздими іменами, які запускають файли з AppData, Temp чи ProgramData.

Найзручніше — утиліта Autoruns від Microsoft Sysinternals: вона показує всі місця автозапуску одразу. Увімкніть Options → Hide Microsoft Entries, щоб приховати системні записи, і перевірку на VirusTotal.

4. Мережеві підключення

Майнер підключається до майнінг-пулу. Утиліта TCPView (теж Sysinternals) показує, який процес із якою адресою з’єднується. Підозрілі адреси зі словами pool, xmr, mine і підключення до портів 3333, 4444, 5555, 7777 або 14444 — їх часто використовують пули.

5. Антивірусні сканери

Запустіть у Microsoft Defender автономну перевірку (Безпека Windows → Захист від вірусів і загроз → Параметри сканування → «Автономне сканування Microsoft Defender»). Вона працює до завантаження Windows, тож майнерові ніде сховатися. Додатково перевірте комп’ютер безкоштовними одноразовими сканерами — ESET Online Scanner або Malwarebytes. Завантажуйте їх лише з офіційних сайтів.

Як видалити прихований майнер

1. Вимкніть інтернет, щоб майнер не завантажив себе знову.
2. Запустіть автономну перевірку Microsoft Defender і один зі сканерів, видаліть усе знайдене.
3. Перевірте автозапуск в Autoruns і видаліть залишки підозрілих завдань і служб.
4. Якщо майнер заважає видаленню — завантажтеся в безпечному режимі (затисніть Shift і натисніть «Перезавантаження» → Пошук і усунення несправностей → Додаткові параметри → Параметри завантаження) і повторіть кроки.
5. Перевірте файл hosts (C:\Windows\System32\drivers\etc\hosts): майнери дописують туди адреси антивірусів, щоб ви не могли відкрити їхні сайти. Зайві рядки видаліть.
6. Змініть паролі від пошти, Steam і банку — з іншого, чистого пристрою: разом із майнером часто приходить програма для крадіжки паролів.
7. Якщо нічого не допомагає — перевстановіть Windows з офіційного образу Microsoft.

Як не заразитися знову

• Не завантажуйте кряки, репаки й чити — це головне джерело майнерів.
• Купуйте ігри в офіційних магазинах: у Steam часто бувають розпродажі, а ігри можна купити й за зароблене — див. статтю «З майнінгу в Steam».
• Не вимикайте антивірус на прохання інсталятора.
• Оновлюйте Windows, браузер і драйвери.
• Сумнівні файли перевіряйте на VirusTotal до запуску.

Чесний майнінг: у чому різниця

Майнінг сам собою не вірус — усе вирішують згода власника й те, кому дістаються гроші.

Антивіруси іноді позначають і легальні майнери як «потенційно небажані програми» — саме тому, що такі програми підкидають на чужі комп’ютери. Якщо ви хочете, щоб комп’ютер заробляв для вас, а не для зловмисника, — читайте статтю «Як заробити на комп’ютері».

Підсумок