Майнер (программа): признаки и обнаружение¶

Майнер (криптомайнер, майнер) — это программа или вредоносное ПО, которое использует вычислительные ресурсы компьютера (прежде всего центральный и графический процессоры) для добычи криптовалюты в пользу третьей стороны. Нередко майнеры устанавливаются на чужие компьютеры без ведома владельца — в составе пиратского ПО, через уязвимости в браузерах или удалённый доступ. Обнаружить такое ПО можно по характерным признакам и с помощью штатных средств операционной системы.

¶Признаки наличия майнера

Основной и наиболее заметный симптом — необоснованно высокая нагрузка на процессор или видеокарту, когда компьютер простаивает. Дополнительные признаки:

• Резкое увеличение температуры и шума системы охлаждения без видимой причины.
• Снижение производительности в играх и приложениях, «подвисания» рабочего стола.
• Резкий рост потребления электроэнергии, сокращение времени автономной работы ноутбука.
• Неизвестные сетевые соединения: майнеры постоянно обмениваются данными с пуловыми серверами (часто на нестандартных портах).
• Появление незнакомых процессов в диспетчере задач, особенно с высоким потреблением ЦП или GPU.
• Самопроизвольная установка расширений браузера или изменение стартовой страницы (признак браузерного майнера).

¶Проверка нагрузки процессора

В Windows 10 и Windows 11 для первичной диагностики используется Диспетчер задач (Ctrl + Shift + Esc). Во вкладке «Процессор» сортировка по загрузке показывает процессы, потребляющие ресурсы. Для фоновой активности характерно постоянное потребление ЦП на уровне 20–100 % при отсутствии запущенных пользователем программ. Подозрительными считаются процессы с незнакомыми именами, случайным набором символов или имитирующие системные утилиты (например, «svch0st.exe» вместо «svchost.exe»).

В Linux нагрузка отслеживается утилитами top, htop или atop. Постоянная загрузка одного или нескольких потоков процессора при простое системы указывает на возможный майнер.

¶Проверка видеокарты

Майнеры на GPU активно используют вычислительные возможности видеокарты. Проверка выполняется средствами:

• Диспетчер задач (Windows), вкладка «Процессор» — встроенная графика, или отдельная утилита GPU-Z — мониторинг загрузки и частоты GPU.
• Дисплей NVIDIA (nvidia-smi) — консольная утилита, показывающая список процессов, работающих с GPU.
• Radeon Overlay / Radeon Software для видеокарт AMD.

Характерный признак — постоянная загрузка GPU на уровне 90–100 % при отсутствии игр, 3D-приложений или видеоредакторов.

¶Сетевая активность

Майнеры поддерживают постоянное соединение с mining-пулом. Проверить сетевые соединения можно через вкладку «Сеть» в Диспетчере задач или утилитой netstat -ano в командной строке. Подозрительными считаются:

• Множественные соединения с одним удалённым адресом на нестандартных портах (3333, 4444, 5555, 8888 и другие, характерные для пулов).
• Постоянная передача данных при простаивающем компьютере.
• Обращения к доменам, ассоциированным с известными пуловыми сервисами.

¶Антивирусная проверка

Штатный Защитник Windows (Microsoft Defender) и сторонние антивирусы распознают большинство распространённых майнеров. Рекомендуется выполнить полную проверку системы с обновлёнными базами. Дополнительно используются специализированные утилиты:

• Malwarebytes — обнаружение Potentially Unwanted Programs (PUP), к которым относятся часть майнеров.
• Dr.Web CureIt! и Kaspersky Virus Removal Tool — бесплатные одноцелевые сканеры.
• ESET Online Scanner — облачное сканирование.

Браузерные майнеры (Cryptojacking) блокируются расширениями NoCoin, MinerBlock или аналогичными.

¶Системные проверки

Дополнительные действия для выявления скрытых майнеров:

1. Проверка автозагрузки: в Windows — вкладка «Автозагрузка» Диспетчера задач и раздел shell:startup; в Linux — systemctl list-unit-files --type=service.
2. Просмотр запланированных задач: taskschd.msc (Windows) или crontab -l (Linux).
3. Проверка установленных программ на наличие незнакомого ПО через «Приложения и возможности».
4. Анализ сетевых подключений и открытых портов утилитой TCPView от Sysinternals.

¶Профилактика

Основные меры профилактики заражения майнерами:

• Установка программ только из официальных источников, отказ от пиратских сборок.
• Своевременное обновление операционной системы и браузеров.
• Использование антивируса с включённой защитой в реальном времени.
• Отключение выполнения скриптов на незнакомых сайтах (расширения uBlock Origin, NoScript).
• Запрет удалённого доступа к компьютеру, если он не используется.

¶Интересные факты

Первый биткоин-майнер был написан Сатоши Накамото в 2009 году и входил в состав оригинального клиента Bitcoin. В 2017–2018 годах массовый распространение получил Cryptojacking — скрытая майнинг-активность через браузеры, в том числе с использованием скриптов Coinhive, закрытого в 2019 году. В России и ряде других странах криптовалюта не запрещена, однако майнинг на чужом оборудовании без разрешения квалифицируется как несанкционированный доступ к компьютерной информации (статья 272 УК РФ).

¶Источники

• Microsoft Docs — документация по Диспетчеру задач Windows.
• NVIDIA Corporation — документация nvidia-smi.
• Malwarebytes Labs — публикации о Cryptojacking и PUP.
• Dr.Web — справочные материалы по обнаружению майнеров.
• Уголовный кодекс Российской Федерации, статья 272.