Майнеры и их опасность как вируса

ЧТО ТАКОЕ МАЙНЕР?

майнер-это вредоносная программа незаметно (скрытно) потребляет ресурсы устройства (процессор,втдеокарту) для добычи криптовалюты на счет злоумышленника

КАК МАЙНЕР ПОПАДАЕТ НА УСТРОЙСТВО?

при скачивании пираток (торрентов)

при скачивании дополнительного софта в сетапе пираток (яндекс браузер,опера и им подобные)

также игра может быть без вируса,но вирус вшит в сам установщик (setup.exe)

фишинговые письма-сообщения от банка,псевдорекламодателя и т.п

при открытии срабатывает скрипт который и запускает майнер на вашем устройстве (в основном на пк)

также при открытии якобы .pdf исполняется файл .exe который и запускает майнер

Браузерный скрипт-при заходе на сайт исполняется javascript (ранее библиотека CoinHive) при нахождении на сайте процессор начинает нагружаться на 80-98% (как и обычные майнеры)

встречается чаще всего на пиратских онлайн кинотеатрах,онлайн тестах,онлайн библиотеках.

ботнеты-атака группы злоумышленников на большие кучки устройств с неправильными настройками безопасностями.

рекламные модули (adware)-попадается в бесплатных расширениях для браузера (в основном впн и распостранено в основе на ПК)

КАК МАЙНЕРЫ ОБХОДЯТ ЗАЩИТУ?

Файл называют document.pdf.exe. В Windows по умолчанию скрыты расширения для известных типов файлов, поэтому пользователь видит просто document.pdf.

Майнер упаковывают в архив с паролем (пароль пишут в письме). Антивирусы не могут просканировать содержимое зашифрованного архива, пока пользователь сам его не распакует.

Майнер сшивают с полезным файлом (например читом для игры). Игра запускается, всё работает, а вирус тихо устанавливается в фон.

Майнер постоянно следит за списком запущенных процессов. Как только вы нажимаете Ctrl Alt Del или открываете Task Manager, майнер мгновенно отключается. Вы видите пустой список процессов и 0% загрузки. Как только закрываете диспетчер он включается снова.

Процесс называется не «miner.exe», а lsass.exe, svchost.exe или Realtek Audio Manager. Обычный пользователь побоится завершать такой процесс.

Вирус постоянно меняет свою структуру. Каждая новая копия майнера имеет уникальный хеш-сумма, поэтому антивирусы по старым базам его не узнают.

Продвинутые майнеры при попадании в систему сами добавляют папку со своим телом в список исключений Windows Defender через командную строку (PowerShell).

Майнер живет только в оперативной памяти или внутри реестра Windows, не создавая подозрительных файлов на диске.

Также существует WebAssembly:

Вместо обычного JavaScript (который легко блокируется) используется бинарный код WebAssembly. Он работает быстрее и его сложнее анализировать защитным расширениям.

Майнер открывает крошечное окно браузера размером 1x1 пиксель, которое прячется за панелью задач Windows. Вы закрыли основное окно с сайтом, но «невидимка» продолжает майнить.

Также есть обход в роутере и камере. Простыми словами IOT:

Майнеры просто перебирают стандартные пары admin/admin или admin/1234. Многие пользователи никогда не меняют пароль на роутере.

Майнер на роутере может активироваться только ночью, когда никто не пользуется интернетом, чтобы не вызывать задержек (пинга).

КАК НЕ ПОПАСТЬСЯ НА МАЙНЕР?

1. В настройках папок Windows сними галочку с «Скрывать расширения для зарегистрированных типов файлов». Так ты сразу увидишь подозрительный файл картинка.jpg.exe.

2. Когда скачал файл то закинь его на Virustotal (virustotal com) смотри абсолютно все вкладки и особенно смотри на хеш

   проверяй его на различных датабазах.

   

3. Обычные антивирусы часто пропускают майнеры (считая их просто нежелательным ПО). Используй утилиты вроде malwarebytes или Dr Web CureIt они заточены под поиск таких скрытых угроз.

1. Установи расширение uBlock Origin. отлично режет скрипты криптоджекинга.Включай настройку Блокировать опасные и обманчивые сайты в самом браузере.

2. Если ПК шумит, а в Диспетчере всё чисто используй Process Explorer. Он показывает более глубокие ветки процессов, которые майнерам сложнее скрыть.

5.1 переименуй process explorer в любое название так будет больше шансов поймать его

5.2 смотри вкладку GPU и что сжирает больше ресурсов то и является майнером

6. Прямо сейчас смени заводской пароль на роутере. Ботнеты ищут именно «ленивых» пользователей с паролем admin.

7. Всегда выбирай «Выборочная установка» (Custom Install). Каждая лишняя галочка это потенциальный «пассажир» в виде майнера или рекламного модуля.

данная статья подходит к концу,спасибо за прочтение!