После заражения компьютера вредоносным майнером часто первым сигналом становится необычная нагрузка на процессор или видеокарту. Однако майнеры стараются маскироваться под легитимные процессы, поэтому просто посмотреть на общий процент загрузки CPU недостаточно. Ниже описано, какие признаки могут указывать на скрытый майнер, какие системные инструменты помогут его выявить и как провести проверку безопасно.
Содержание
Основные признаки наличия майнера
Майнер потребляет ресурсы для вычислений, поэтому его присутствие обычно проявляется через несколько косвенных признаков:
- Постоянно высокая нагрузка на CPU (часто 80‑100 %) даже при отсутствии запущенных тяжёлых приложений.
- Увеличение температуры процессора и/или видеокарты без видимой причины.
- Снижение общей производительности системы: торможение при открытии программ, задержки в работе интерфейса.
- Появление неизвестных процессов с именами, напоминающими легитимные сервисы (например, svchost.exe, explorer.exe или lsass.exe с добавлением цифр или странных суффиксов).
- Необычная сетевая активность: исходящие соединения на странные IP‑адреса или порты, часто связанные с пулами майнинга.
- В логах антивируса или защитного ПО периодически фиксируются предупреждения о подозрительном поведении, даже если угроза не блокируется.
Если вы заметили хотя бы несколько из этих признаков, стоит перейти к более детальной проверке запущенных процессов.
Как проверить процессы в Windows
Встроенные средства Windows позволяют быстро получить список запущенных программ и оценить их потребление ресурсов.
- Откройте Диспетчер задач (Ctrl + Shift + Esc). Перейдите на вкладку Процессы.
- Кликните по заголовку столбца ЦП, чтобы отсортировать процессы по использованию процессора по убыванию.
- Обратите внимание на процессы, которые постоянно находятся в верхней части списка и потребляют значительную долю CPU (> 20‑30 %) без видимой причины.
- Щёлкните правой кнопкой по подозрительному процессу и выберите Свойства. На вкладке Подробно проверьте:
- Путь к исполняемому файлу (поле Расположение). Легитимные системные файлы обычно находятся в C:\Windows\System32 или в папках установленных программ.
- Описание и название продукта. Если описание отсутствует или выглядитGeneric, это повод для настороженности.
- Цифровая подпись. Отсутствие подписи или подпись от неизвестного издателя может указывать на вредоносный файл.
- Для более глубокого анализа можно воспользоваться бесплатной утилитой Process Explorer от Sysinternals. Она показывает иерархию процессов, позволяет увидеть, какие DLL‑файлы загружены, и проверить подписи напрямую из интерфейса.
- Если процесс выглядит подозрительно, но завершить его через обычный диспетчер не получается (он сразу перезапускается), попробуйте завершить его в Process Explorer через меню Process → Kill Process или выполнить команду taskkill /F /IM имя_процесса.exe в командной строке с правами администратора.
Как проверить процессы в Linux
В Linux аналогичные сведения можно получить через командную строку. Основные утилиты — top, htop, ps и systemctl для сервисов.
- Запустите top или htop (если установлен). Отсортируйте список по использованию CPU (обычно клавиша P).
- Обратите внимание на процессы с высоким процентом CPU, которые не соответствуют известным вам приложениям.
- Узнайте полное имя и путь к исполняемому файлу процесса. Например, для PID 1234 выполните:
ls -l /proc/1234/exe
Это покажет символическую ссылку на реальный файл. - Проверьте принадлежность файла к известному пакету. В Debian/Ubuntu можно использовать:
dpkg -S /полный/путь/к/файлу
Если команда ничего не выводит, файл, вероятно, не установлен через пакетный менеджер и заслуживает внимания. - Для сервисов, управляемых systemd, полезно выполнить:
systemctl list-units —type=service —state=running
и посмотреть, нет ли неизвестных сервисов с высокой нагрузкой (можно посмотреть через systemctl status имя_сервиса). - Если подозреваете, что майнер маскируется под обычное имя (например, kthreadd или mig), сравните его путь с эталонным расположением. Легитимные ядерные потоки находятся в пространстве ядра и не имеют файла в /proc/*/exe.
- При необходимости используйте инструменты вроде lsof или netstat -tulnp для проверки сетевых соединений процесса. Майнеры часто устанавливают исходящие соединения на пулы майнинга на нестандартных портах (например, 3333, 4444, 5555).
Дополнительные инструменты для проверки
Помимо встроенных утилит, существуют специализированные сканеры, которые могут помочь обнаружить скрытые майнеры:
- Антивирусные решения с функцией heuristic‑анализа (например, Malwarebytes, ESET, Kaspersky). Запустите полное сканирование в режиме безопасной загрузки, если возможно.
- Скрипты для проверки аномальной загрузки CPU, такие как rkhunter или chkrootkit в Linux. Они ищут известные признаки rootkit‑ов и скрытых майнеров.
- Сетевые мониторы (Wireshark, tcpdump) позволяют увидеть, какие адреса и порты использует подозрительный процесс. Если вы видите постоянный трафик на известные пулы майнинга, это сильный индикатор.
- В Windows можно воспользоваться встроенным средством Автозапуск (autoruns.exe) от Sysinternals, чтобы посмотреть, какие программы и сервисы запускаются при старте системы. Майнер часто добавляет себя в автозапуск для persistence.
Что делать, если вы нашли подозрительный процесс
- Не завершайте процесс сразу, если вы не уверены в его легитимности. Сначала соберите как можно больше информации: путь, подпись, сетевые соединения, родительский процесс.
- Если процесс расположен в несистемной папке (например, в %TEMP%, %APPDATA%, /tmp или в домашней директории пользователя) и не имеет цифровой подписи, высока вероятность, что он вредоносный.
- Заблокируйте сетевой доступ процесса через firewall (в Windows — правила исходящего подключения, в Linux — iptables/nftables или ufw). Это предотвратит дальнейшую связь с пулом майнинга, пока вы решаете, что делать дальше.
- Создайте резервную копию важных данных, затем попытайтесь удалить файл. Если файл защищён или сразу восстанавливается, возможно, он запускается из сервиса или задачи планировщика. Проверьте:
- В Windows — планировщик задач (taskschd.msc) и службы (services.msc).
- В Linux — cron (crontab -l и файлы в /etc/cron.*), systemd‑таймеры (systemctl list-timers).
- После удаления файла перезагрузите систему и проверьте, не появляется ли процесс снова. Если да, повторите поиск точки persistence.
- Если после всех действий вы всё ещё не уверены, обратитесь за помощью к специалисту по информационной безопасности или используйте онлайн‑сканеры с возможностью загрузки подозрительного файла (например, VirusTotal) — но помните, что загрузка потенциально вредоносного файла на сторонний сервис сопряжена с риском раскрытия конфиденциальных данных.
Типичные ошибки при поиске майнеров
- Фокусировка только на высоком проценте CPU без проверки пути и подписи. Некоторые легитимные задачи (например, видеокодирование, научные вычисления) также могут потреблять много ресурсов.
- Попытка «убить» процесс через обычный диспетчер задач, когда он защищён rootkit‑ом или перезапускается сервисом. Это приводит к ложному ощущению успеха.
- Игнорирование сетевой активности. Майнер может маскироваться под низкую загрузку CPU, но активно обмениваться данными с пулом.
- Удаление только видимого исполняемого файла, оставляя автозапуск или запланированные задачи, которые восстанавливают вредоносный код после перезагрузки.
- Доверие только одному антивирусному сканеру. Некоторые майнеры используют техники обхода сигнатурного обнаружения.
Практический следующий шаг
После выполнения базовой проверки (диспетчер задач/ top, анализ пути и подписи, сетевые соединения) у вас будет достаточно информации, чтобы решить, является ли подозрительный процесс вредоносным. Если сомнений остаётся, выполните полное сканирование обновлённым антивирусом в безопасном режиме и проверьте автозапуск и планировщика задач на наличие неизвестных записей. При подтверждении наличия майнера удалите его источники блокировки сети и перезагрузите систему, затем повторите проверку, чтобы убедиться, что нагрузка на CPU вернулась к норме.