Как я схватил скрытый майнер и избавился от него

[DonKamaro 270]

Было дело, решил поэксперементировать с RMS (вирус удаленного доступа), чисто из интереса. Скачал установочник с билдером вируса, распаковал и начала в нем копаться. Но тут комп (благо это была не основная машина, а старенький ноут) начала жутко гудеть как камаз и воздух из вентиляционного отверстия стал такой горячий, что на нем можно было воду вскипятить.

Я сначала подумал, что система охлаждения полетела. Но когда зашел в диспетчер задач, то сразу увидел неизвестный процесс, который жрал ~80% ЦП, и суммарно при этом ЦП был загружен на 100%. Это и был он - скрытый майнер.

Я просто через диспетчер перешел к источнику процесса и удалил его. Но после перезагрузки компа проблема снова появилась - скрытый майнер устанавливался повторно!

Что же я сделал:

• Открыл установочник RMS с помощью 7-Zip архиватора
• Понял что установочник был архивом, который при открытие автоматически запускал 2 скрипта - один устанавливал мне на комп нужный мне билдер, а второй устанавливал в скрытую папку установочник майнера
• Далее открыл блокнотом файл скрипта, который отвечал за установку (по моему это был файл .bat или типа того) и прочитав его увидел директорию в которую ныкался установочник майнера
• Пошел туда и удалил его - проблема решена

Я конечно понимаю, что это только частный случай и возможно у вас будет другая ситуация - но мало ли, вдруг эта история кому-то поможет. Особенно если ваш антивирус не определит автоматически скрытый майнер. Также если в диспетчере задач не удаётся найти источник проблемы, то можно воспользоваться продвинутой его версией - программой типа Process Hacker или типа того.

Edited December 12, 2019 by DonKamaro

[Ghetto workout 6263]

Полагаю ваш опыт заслуживает нахождения в данном разделе, учитывая то, что обсуждение основного топика скрытого майнинга уже зашло за 150 страниц и найти там интересующую информацию становится крайне проблематично.

[KendaBeerloga 848]

Коротко, доходчиво и ясно. Меня в этом случае (от скрытого майнинга) бережет то, что компьютер можно приравнять к печатной машинке с функцией калькулятора. У меня точно не заработает)))

[PamPamPam! 2525]

38 minutes ago, DonKamaro said:

Было дело, решил поэксперементировать с RMS (вирус удаленного доступа), чисто из интереса. Скачал установочник с билдером вируса, распаковал и начала в нем копаться. Но тут комп (благо это была не основная машина, а старенький ноут) начала жутко гудеть как камаз и воздух из вентиляционного отверстия стал такой горячий, что на нем можно было воду вскипятить.

Я сначала подумал, что система охлаждения полетела. Но когда зашел в диспетчер задач, то сразу увидел неизвестный процесс, который жрал ~80% ЦП, и суммарно при этом ЦП был загружен на 100%. Это и был он - скрытый майнер.

Я просто через диспетчер перешел к источнику процесса и удалил его. Но после перезагрузки компа проблема снова появилась - скрытый майнер устанавливался повторно!

Что же я сделал:

• Открыл установочник RMS с помощью 7-Zip архиватора
• Понял что установочник был архивом, который при открытие автоматически запускал 2 скрипта - один устанавливал мне на комп нужный мне билдер, а второй устанавливал в скрытую папку установочник майнера
• Далее открыл блокнотом файл скрипта, который отвечал за установку (по моему это был файл .bat или типа того) и прочитав его увидел директорию в которую ныкался установочник майнера
• Пошел туда и удалил его - проблема решена

Я конечно понимаю, что это только частный случай и возможно у вас будет другая ситуация - но мало ли, вдруг эта история кому-то поможет. Особенно если ваш антивирус не определит автоматически скрытый майнер. Также если в диспетчере задач не удаётся найти источник проблемы, то можно воспользоваться продвинутой его версией - программой типа Process Hacker или типа того.

У вас попался более менее простой майнер, у моего друга было похуже, что даже например через вас способ он не удалялся, и через диспетчер. А так думаю реально кому-то поможет данная тема, по скольку никто не застрахован. 

[DonKamaro 270]

14 minutes ago, KendaBeerloga said:

Коротко, доходчиво и ясно. Меня в этом случае (от скрытого майнинга) бережет то, что компьютер можно приравнять к печатной машинке с функцией калькулятора. У меня точно не заработает)))

Насколько я знаю, есть продвинутые скрытые майнеры, которые определяют хар-ки компа и степень его загруженности, и относительно этого регулируют "мощность" майнинга - если схлопотаете такой, то он наверняка ничего не сделает вам.

А вот если схватить обычный майнер, который втупую запускает добычу на всю свободную мощность ПК, то вот тут уже опасно и ваш слабенький ПК может и не выдержать такой нагрузки.

(хотя я в этом не совсем эксперт, эт просто моё мнение)

[Nikitazap 4060]

Это майнер который придумали дилетанты. Его сразу видно. Я когда-то поймал майнер который всего лишь на 30-40% грузил машину. Он тормозил но не сильно. Наверное он регулировал майнинг в зависимости от загрузки ПК. Я наверное только через неделю догадался что что-то не чисто. Но я не стал заморачиваться а просто переставил винду из образа.

[Feindal 9]

Не совсем понял, сам архив был установочником, т.е. процессы скриптов запускались при открытии архива, или ты запустил файл установки, ехешник какой-нибудь или что там было, и скрипты сработали только тогда? В последнем случае мне интересно: ты не заметил, что в архиве был какой-то непонятный .bat (а скорее всего это был именно он) и запустил исполняемый файл, не проверив батник? Учитывая что файлы с таким расширением нужны для автоматического исполнения прописанных действий, в т.ч. и тихой установки, это было как минимум неосмотрительно. Или же батник был спрятан?

[DonKamaro 270]

3 minutes ago, Feindal said:

Не совсем понял, сам архив был установочником, т.е. процессы скриптов запускались при открытии архива, или ты запустил файл установки, ехешник какой-нибудь или что там было, и скрипты сработали только тогда? В последнем случае мне интересно: ты не заметил, что в архиве был какой-то непонятный .bat (а скорее всего это был именно он) и запустил исполняемый файл, не проверив батник? Учитывая что файлы с таким расширением нужны для автоматического исполнения прописанных действий, в т.ч. и тихой установки, это было как минимум неосмотрительно. Или же батник был спрятан?

Там была такая схема. Архив вел себя как установочник. Выглядит все так: По нему делаешь дабл-клик и он просто запускает процесс установки, ты выбираешь папку для установки и тд, всё как обычно. Но на самом деле это замаскированный под установочник архив, который при дабл-клике активириует батник, который запускает обычную установку + тихую установку малваря. Спалить что это архив можно только если нажать по нему ПКМ и в контекстном меню будет пункт "Open with 7-zip" или типа того.

[Doni2029 16919]

2 hours ago, DonKamaro said:

Было дело, решил поэксперементировать с RMS (вирус удаленного доступа), чисто из интереса. Скачал установочник с билдером вируса, распаковал и начала в нем копаться. Но тут комп (благо это была не основная машина, а старенький ноут) начала жутко гудеть как камаз и воздух из вентиляционного отверстия стал такой горячий, что на нем можно было воду вскипятить.

Я сначала подумал, что система охлаждения полетела. Но когда зашел в диспетчер задач, то сразу увидел неизвестный процесс, который жрал ~80% ЦП, и суммарно при этом ЦП был загружен на 100%. Это и был он - скрытый майнер.

Я просто через диспетчер перешел к источнику процесса и удалил его. Но после перезагрузки компа проблема снова появилась - скрытый майнер устанавливался повторно!

Что же я сделал:

• Открыл установочник RMS с помощью 7-Zip архиватора
• Понял что установочник был архивом, который при открытие автоматически запускал 2 скрипта - один устанавливал мне на комп нужный мне билдер, а второй устанавливал в скрытую папку установочник майнера
• Далее открыл блокнотом файл скрипта, который отвечал за установку (по моему это был файл .bat или типа того) и прочитав его увидел директорию в которую ныкался установочник майнера
• Пошел туда и удалил его - проблема решена

Я конечно понимаю, что это только частный случай и возможно у вас будет другая ситуация - но мало ли, вдруг эта история кому-то поможет. Особенно если ваш антивирус не определит автоматически скрытый майнер. Также если в диспетчере задач не удаётся найти источник проблемы, то можно воспользоваться продвинутой его версией - программой типа Process Hacker или типа того.

Большое Вам спасибо за то что Вы так подробно описали алгоритм своих действий. У меня был подобный случай. Но я просто не стал заморачиваться и за 25 минут переустановил ОС.

[N0LEN 229]

Спасибо за информацию, на всякий случай перепроверю пк на наличие такого майнера, а то что-то в последнее время компьютеру вообще плохо

[DonKamaro 270]

2 hours ago, Doni2029 said:

Большое Вам спасибо за то что Вы так подробно описали алгоритм своих действий. У меня был подобный случай. Но я просто не стал заморачиваться и за 25 минут переустановил ОС.

Ну, переустановка операнционки то не всегда возможна) если например важные файлы есть на компе и к тому же всего 1 диск имеется, то так просто винду не переустановишь, да и вдруг вирус запрятался как раз таки среди файлов.

[alkobit 6297]

On 12.12.2019 at 17:58, Nikitazap said:

Это майнер который придумали дилетанты. Его сразу видно. Я когда-то поймал майнер который всего лишь на 30-40% грузил машину. Он тормозил но не сильно. Наверное он регулировал майнинг в зависимости от загрузки ПК. Я наверное только через неделю догадался что что-то не чисто. Но я не стал заморачиваться а просто переставил винду из образа.

Да это пожалуй самый простой способ снести майнер. У автора топика случай не самый сложный был. Майнеры уже давно отключают процесс при открытие диспетчера задач, а при закрытии вновь запускают. И запускать майнинг на полную мощность - тупая жадность разработчика.

[Solo_miner 6917]

Вот из-за таких скрытых майнеров многие и предпочитают хайв-ос. Под него ещё ни один скрытый майнер не написали, да и не запустится он там без разрешения пользователя. С виндой проблема конечно ещё актуальна...

[ugolok 6121]

20 minutes ago, Solo_miner said:

многие и предпочитают хайв-ос

Ну, так то для ригов я особо и не опосаюсь скрытых майнеров - я там по интернету не лажу, проги не качаю)) А для обычного использования ХайвОС, мягко говоря, не применим.

[okela 1058]

47 minutes ago, ugolok said:

Ну, так то для ригов я особо и не опосаюсь скрытых майнеров - я там по интернету не лажу, проги не качаю)) А для обычного использования ХайвОС, мягко говоря, не применим.

Ну так HiveOS - это обычных Линух, немного доработанный специальным напильником для майнеров. 🙂 Там можно переключиться в обычный режим работы.

[Kitaets 173]

Я как то тоже ловил скрытый майнер. что только не делал и чем не чистил. Все равно опять появлялся. Пришло систему переустанавливать.

[ugolok 6121]

5 minutes ago, okela said:

Там можно переключиться в обычный режим работы.

Спасибо за инфу, думал он чисто под майнинг заточен.

Кстати про линух - ну вирусы понятно, а вот браузерный майнинг при заходе на такой сайт линухом блокируется?

[Nikitazap 4060]

Иногда нужно на майнер что-нибудь установить. А все проги в первую очередь затачивают под винду. Поэтому проще всего ставить винду и создавать образ Акронисом. 5 минут и все восстановлено. Но принудительное обновление в винде это беда. Как по мне это тоже вирус, но избавиться от него не возможно. Он постоянно гад себя реанимирует.

[Diamond999 2441]

On 12.12.2019 at 17:33, Doni2029 said:

Но я просто не стал заморачиваться и за 25 минут переустановил ОС.

Это потому что у тебя на компе ничего ценного нет и порядок не важен. Если так каждый раз из-за крохотного майнера винду менять, то замучаешься. Не проще ли программами защититься?

 

Самое опасное в этих майнерах то, что могут железо испортить. Не сразу, конечно, но перегреть за какое-то время вполне способны.

[Jokkol 993]

Да это конечно новая проблема. После того, как узнал об этом, то же кажется, что с моего компа идёт скрытый майнинг, по каким приложениям из диспетчера задач можно это узнать?

[DonKamaro 270]

3 hours ago, ugolok said:

Кстати про линух - ну вирусы понятно, а вот браузерный майнинг при заходе на такой сайт линухом блокируется?

  Мне кажется при браузерном майнинге дело не в операционке, а самом браузере, он ведь скрипты запускает на странице. Многие майнеры же например могут как на Винде, так и на Андроиде майнить из браузера.

1 hour ago, Jokkol said:

Да это конечно новая проблема. После того, как узнал об этом, то же кажется, что с моего компа идёт скрытый майнинг, по каким приложениям из диспетчера задач можно это узнать?

По тем, которые неестественно загружают ЦП. Вот открываешь ты диспетчер задач, и видишь что какая-то вообще непонятная фигня (не браузер, не игра и тд) жрет неоправданно много процессора. Особенно если ты только запустил комп и еще не открыл ни одной программы.

[Lyyk121 3231]

Никогда, прямо никогда не нужно скачивать на свой рабочий пк различные программы, файлы, фильмы...
Я вот очень сторонюсь всего  этого. 
Даже антивирусы не смогут распознать некоторые майнеры.

[Kventin 245]

Вот точно знаю, что эти твари удаляются очень тяжело. Когда-то пытался зарабатывать на буксах и там было много заданий со скачиванием файлов, так вот, многие из них были заражены майнерами. Это я потом узнал. И не установились они лишь потому что у меня был старый комп, ХР версия, где даже майнеры не устанавливаются 

[DonKamaro 270]

6 hours ago, Kventin said:

 у меня был старый комп, ХР версия, где даже майнеры не устанавливаются 

Да, есть такая тема, что Windows XP сейчас одна из самых безопасных версий винды, т.к. все вирусы сейчас затачиваются по 10ку или 7ку, а XP все обходят стороной

[Lollkek1337 78]

Видимо, я тоже схватил скрытый майнер, мой компьютер, когда начинаю его выключать - не выключается, а начинает ещё громче и сильнее работать. Что мне делать?

Edited December 18, 2019 by Lollkek1337