Компьютер может шуметь, греться и тормозить по обычным причинам: тяжелая игра, монтаж видео, десятки вкладок в браузере, старый ноутбук с пылью внутри. Но если вентиляторы разгоняются без видимой нагрузки, процессор или видеокарта заняты почти постоянно, а батарея ноутбука уходит за час, стоит проверить систему на скрытый майнер.
Скрытый майнер - это программа, которая использует ресурсы чужого компьютера для добычи криптовалюты без согласия владельца. Вредоносный код не обязан красть файлы или блокировать экран. Ему нужно другое: процессор, видеокарта, электричество и доступ к сети. Для пользователя результат заметен по нагреву, тормозам, лишнему расходу энергии и ускоренному износу железа.
В быту такую угрозу часто называют вирусом-майнером. Технически это может быть троян, потенциально нежелательная программа, скрипт в браузере, модуль в пиратской сборке, служба Windows или обычный майнер, запущенный без разрешения. Важна не этикетка, а поведение: программа выполняет вычисления для чужого кошелька и прячется от пользователя.
Майнеры любят маскировку. Один процесс может называться почти как системный, второй прятаться в папке AppData, третий запускаться через Планировщик заданий, четвертый отключаться при открытии Диспетчера задач. Поэтому проверка не должна сводиться к одному взгляду на список процессов.
Как работает скрытый майнер
Майнинг - это вычислительная работа, за которую сеть криптовалюты выплачивает вознаграждение. Обычные майнеры запускают на своем оборудовании специальные программы, платят за электричество и получают прибыль, если расчеты сходятся с экономикой. Скрытый майнер переносит расходы на чужой компьютер.
Вредоносная программа подключается к майнинг-пулу. Пул - это сервис, где много участников объединяют вычислительную мощность и делят награду. Компьютер жертвы получает задания, считает хэши и отправляет результаты обратно. Хэш в таком контексте - короткий результат математического расчета, который сложно подобрать без большого числа попыток.
Одни майнеры сильнее нагружают процессор, другие видеокарту. CPU - центральный процессор, он выполняет общие задачи системы. GPU - графический процессор, то есть видеокарта, которая хорошо справляется с большим количеством однотипных вычислений. Поэтому зараженный игровой ПК с мощной видеокартой для злоумышленника интереснее старого офисного ноутбука.
Часть майнеров использует готовые легальные программы, например XMRig, но запускает их без разрешения владельца. Сам по себе майнер может быть обычным инструментом, если пользователь сам решил добывать криптовалюту. Проблема начинается, когда программу установили тайно, спрятали в автозагрузке и привязали к чужому кошельку.
Чтобы продержаться дольше, скрытый майнер ограничивает нагрузку. Например, днем использует 20-30% процессора, ночью разгоняется сильнее, при запуске игры снижает активность, а при открытии Диспетчера задач завершает процесс или меняет имя. Такая осторожность делает заражение менее заметным.
Как майнер попадает на компьютер
Самый частый путь - пиратские программы, кряки, активаторы, моды и репаки игр. Пользователь скачивает архив, видит инструкцию отключите антивирус, запускает файл от имени администратора и сам дает вредоносному коду нужные права. После установки нужная игра или программа может даже работать, а майнер остается рядом как неприятный бонус.
Второй путь - фальшивые установщики. На сайте-клоне предлагают скачать драйвер, VPN, конвертер видео, архиватор, плеер, программу для PDF или обновление браузера. Установщик может показывать привычные окна, но параллельно добавлять службу, задачу в Планировщик заданий и файл в AppData или ProgramData.
Третий вариант - вложения и ссылки из писем. Вредоносный код прячут в архивах, ISO-образах, ярлыках .lnk, скриптах .js, .vbs, .ps1, документах с макросами или файлах с двойным расширением. Майнеры часто приходят не первыми: сначала запускается троян-загрузчик, а уже потом он скачивает майнер, шпионский модуль или бэкдор.
Еще один источник - расширения браузера и сомнительные сайты. Браузерный майнинг встречается реже, чем несколько лет назад, но полностью не исчез. Вредный скрипт работает, пока открыта страница или активное расширение. Такой вариант обычно не переживает закрытие браузера, но может сильно греть ноутбук во время работы.
| Источник заражения | Как выглядит | Что должно насторожить |
|---|---|---|
| Кряк или активатор | Архив с паролем, инструкция отключить защиту | Просьба выключить антивирус и запуск от администратора |
| Репак игры | Большой установщик с форума или файлообменника | Неизвестный автор, лишние установщики, странные службы после установки |
| Фальшивый драйвер | Сайт обещает обновить видеокарту или звук | Адрес не относится к производителю устройства |
| Расширение браузера | Простая функция, но доступ ко всем сайтам | Высокая нагрузка появляется только при открытом браузере |
| Троян-загрузчик | Письмо, архив, документ, скрипт | После запуска появляются новые процессы и сетевые соединения |
Какие признаки выдают скрытый майнер
Один признак не доказывает заражение. Видеокарта может греться после обновления драйвера, процессор - из-за индексации файлов, вентилятор - из-за пыли. Но сочетание высокой нагрузки, неизвестных процессов, сетевой активности и странной автозагрузки уже требует проверки.
Самый понятный сигнал - нагрузка без причины. Откройте Диспетчер задач через Ctrl + Shift + Esc и посмотрите вкладку Процессы. Если ничего тяжелого не запущено, а CPU или GPU держатся на высоких значениях, нужно выяснять, кто именно забирает ресурсы. На вкладке Производительность видно общую картину по процессору, памяти, диску, сети и видеокарте.
Важная оговорка: некоторые майнеры следят за Диспетчером задач и снижают активность при его открытии. Если компьютер шумит, но в момент проверки нагрузка резко падает, это не доказательство заражения, но повод посмотреть глубже через Process Explorer, Autoruns, журналы и сетевую активность.
Скрытый майнер часто выдает себя ночью или в простое. Пользователь отошел, экран погас, а вентиляторы продолжают работать. У ноутбука быстро садится батарея, корпус греется при закрытых программах, игры начинают тормозить, а в комнате становится слышно видеокарту. Звучит бытово, но такие признаки часто первыми замечают без всяких утилит.
- CPU или GPU загружены без открытых тяжелых программ.
- Вентиляторы шумят в простое, ноутбук быстро разряжается и греется.
- Процесс исчезает или снижает нагрузку при открытии Диспетчера задач.
- В автозагрузке появляются неизвестные записи из AppData, Temp или ProgramData.
- Антивирус сообщает о coinminer, riskware, hacktool, trojan или potentially unwanted app.
- Сеть активна, хотя браузер, игры и загрузчики закрыты.
Как найти майнер в Windows
Начать лучше с обычных средств Windows. В Диспетчере задач отсортируйте процессы по CPU, затем по GPU, памяти и энергопотреблению. Для GPU иногда нужно добавить столбец GPU engine: он показывает, какая часть видеокарты используется. У настоящей игры или редактора видео причина понятна, а неизвестный файл из временной папки уже выглядит подозрительно.
Правый клик по процессу открывает полезные действия: Открыть расположение файла, Свойства, Поиск в Интернете. Расположение важно. Файл в Program Files с цифровой подписью известного производителя и файл в C:UsersимяAppDataRoamingabc123 ведут себя по-разному. Подпись тоже не дает полной гарантии, но неподписанный файл со странным названием надо проверять внимательнее.
Для более точного просмотра процессов подойдет Sysinternals Process Explorer. В нем можно увидеть дерево процессов, путь к файлу, командную строку запуска, подпись, загруженные библиотеки и связи между процессами. В меню Options есть Verify Image Signatures, а также интеграция с VirusTotal, если пользователь принимает условия сервиса. Для частных рабочих файлов с VirusTotal нужна осторожность: при отправке файла он может уйти на внешний сервис.
Если подозрительный процесс возвращается после перезагрузки, надо смотреть автозапуск. Sysinternals Autoruns показывает намного больше точек старта, чем вкладка Автозагрузка в Диспетчере задач: службы, драйверы, задания, расширения оболочки, записи входа в систему, AppInit DLLs, Winlogon и другие места. Начинать удобнее с Options → Hide Microsoft Entries и Options → Verify Code Signatures.
Сетевую активность можно проверить через Монитор ресурсов. Откройте Диспетчер задач → Производительность → Открыть монитор ресурсов → Сеть. Если неизвестный процесс постоянно держит соединения с внешними адресами, запишите имя файла и путь. Майнеры часто общаются с пулом по обычным TCP-портам, поэтому один только номер порта редко дает готовый ответ.
| Где смотреть | Что искать | Что делать с находкой |
|---|---|---|
| Диспетчер задач | Высокий CPU, GPU, энергопотребление | Открыть расположение файла и проверить подпись |
| Process Explorer | Дерево процессов, командная строка, подпись | Сравнить путь, издателя и поведение процесса |
| Autoruns | Службы, задания, автозапуск из странных папок | Сначала отключить запись, не удалять системные элементы наугад |
| Монитор ресурсов | Неизвестный процесс с сетевыми соединениями | Записать путь к файлу и проверить сканером |
| Безопасность Windows | Журнал защиты и найденные угрозы | Удалить угрозу или отправить в карантин |
Как удалить скрытый майнер
Если майнер уже запущен, лучше сначала отключить компьютер от интернета. Так вредоносная программа потеряет связь с пулом и управляющим сервером. Не надо сразу удалять случайные файлы из System32 или реестра. Сначала нужно понять, что найдено, где лежит файл и как он запускается после перезагрузки.
Базовая проверка начинается с приложения Безопасность Windows. Откройте «Параметры» – «Конфиденциальность и безопасность» – «Безопасность Windows» – «Защита от вирусов и угроз». Проверьте «Обновления защиты», затем откройте «Параметры сканирования».
- Запустите «Быструю проверку», чтобы проверить типичные места заражения.
- После этого включите «Полную проверку», если нагрузка или подозрительные процессы остаются.
- Для найденной папки используйте «Настраиваемую проверку».
- При признаках скрытого закрепления выберите «Автономная проверка Microsoft Defender».
- После перезагрузки откройте «Журнал защиты» и убедитесь, что угроза удалена или помещена в карантин.
Microsoft Defender Offline полезен, если майнер мешает проверке из работающей Windows, прячется в автозапуске или идет вместе с трояном. Проверка запускается до обычной загрузки системы, поэтому вредоносному коду сложнее скрыть свои процессы.
Если штатная проверка ничего не нашла, а признаки остаются, используйте сканер второго мнения. Kaspersky Virus Removal Tool подходит для разовой проверки и лечения зараженной Windows. Dr.Web CureIt! тоже работает как отдельная лечащая утилита, но для свежих баз ее лучше скачивать заново с официального сайта. Если Windows плохо загружается или вредоносная программа мешает лечению, помогает Kaspersky Rescue Disk.
| Инструмент | Для чего подходит | Важное ограничение |
|---|---|---|
| Microsoft Defender Offline | Проверка до обычной загрузки Windows | Требует перезагрузки и сохранения открытых файлов |
| Sysinternals Process Explorer | Поиск подозрительных процессов и проверки их свойств | Не удаляет угрозу сам, нужен аккуратный анализ |
| Sysinternals Autoruns | Поиск автозапуска, служб и заданий майнера | Можно сломать систему, если удалять записи наугад |
| Kaspersky Virus Removal Tool | Разовая проверка и лечение зараженной Windows | Не заменяет постоянную защиту в реальном времени |
| Dr.Web CureIt! | Проверка без установки полноценного антивируса | Для свежих баз утилиту лучше скачивать заново |
| Kaspersky Rescue Disk | Проверка с загрузочной флешки при тяжелом заражении | Нужно записать образ и загрузиться с носителя |
Что проверить после удаления
Если майнер удален, но причина заражения осталась, проблема может вернуться. Начните с автозагрузки. В Диспетчере задач откройте вкладку «Автозагрузка приложений» и отключите неизвестные элементы. Затем проверьте Autoruns, особенно Logon, Scheduled Tasks, Services и Drivers. Подозрительные записи лучше сначала отключать, а не удалять сразу.
Проверьте браузеры. Удалите неизвестные расширения, сбросьте поисковую систему, посмотрите разрешения сайтов на уведомления. Если нагрузка появлялась только при открытом браузере, причина может быть в расширении или вкладке с вредным скриптом, а не в отдельной программе Windows.
В списке установленных приложений удалите программы, которые появились перед проблемой: сомнительные оптимизаторы, загрузчики драйверов, менеджеры установки, неизвестные VPN, панели браузера и репаки. После удаления перезагрузите компьютер и снова посмотрите CPU, GPU, сеть и автозапуск.
Если майнер пришел вместе с трояном, могли пострадать аккаунты. С чистого устройства поменяйте пароли от почты, мессенджеров, банков, магазинов, игровых сервисов и рабочих кабинетов. В настройках важных сервисов закройте активные сеансы и включите двухфакторную аутентификацию.
Если процесс возвращается после каждой чистки, сканеры не запускаются, защита Windows отключается сама или появляются неизвестные драйверы, безопаснее сохранить документы и переустановить Windows с официального образа. Старые кряки, установщики и архивы переносить обратно не надо.
Как снизить риск нового заражения
Скрытые майнеры держатся на простой схеме: пользователь запускает сомнительный файл, а потом система выполняет чужую работу. Поэтому главный способ защиты - не давать вредоносному коду стартовать. Антивирус помогает, но не должен быть единственной преградой.
В Windows 10 и Windows 11 проверьте защиту от потенциально нежелательных приложений. Откройте «Безопасность Windows» → «Управление приложениями и браузером» → «Защита на основе репутации». Там должна быть включена блокировка потенциально нежелательных приложений, а также проверка приложений и файлов через SmartScreen.
Скачивайте программы с официальных сайтов, Microsoft Store или страниц разработчиков. Для драйверов используйте сайты NVIDIA, AMD, Intel, производителя ноутбука или Центр обновления Windows. Установщики с рекламной выдачи, файлообменников и случайных форумов лучше обходить, особенно если внутри архив с паролем.
- Не отключайте антивирус ради кряка, мода, активатора или репака.
- Не запускайте файлы .exe, .scr, .js, .vbs, .ps1 и .lnk из писем и архивов без проверки.
- Держите Windows, браузер, драйвер видеокарты и архиватор обновленными.
- Проверяйте расширения браузера и удаляйте те, которыми не пользуетесь.
- Используйте обычную учетную запись для повседневной работы, а права администратора только при необходимости.
- Делайте резервные копии важных файлов отдельно от основного компьютера.
Частые вопросы
Скрытый майнер всегда опасен для файлов? Сам майнер обычно не шифрует и не удаляет документы. Но он часто приходит вместе с трояном, загрузчиком или шпионским модулем, поэтому проверять нужно не только нагрузку, но и всю систему.
Если процесс грузит видеокарту, это точно майнер? Нет. Видеокарту используют игры, браузеры, видеоредакторы, нейросетевые программы, аппаратное ускорение и драйверные службы. Подозрение появляется, когда нагрузка идет от неизвестного файла, особенно из AppData, Temp или странной папки.
Можно ли просто завершить процесс? Завершение процесса даст временный эффект. Если майнер закрепился в автозагрузке, службе или Планировщике заданий, он вернется после перезагрузки. Нужно найти файл, механизм запуска и проверить систему сканером.
Почему майнер пропадает из Диспетчера задач? Некоторые вредоносные программы отслеживают запуск taskmgr.exe и временно снижают нагрузку или завершают процесс. В таком случае помогают Process Explorer, Autoruns, автономная проверка и сканеры второго мнения.
Нужно ли переустанавливать Windows? Не всегда. Если сканер удалил майнер, автозапуск очищен, нагрузка исчезла и защита работает нормально, можно ограничиться проверкой и сменой паролей. Если вредоносный код возвращается, отключает защиту или ставит драйверы, чистая переустановка надежнее.
