Как обнаружить и полностью удалить скрытый майнер с компьютера

Быстрый ответ (TL;DR)

Если компьютер начал тормозить, кулеры гудят даже в простое, а браузер или антивирус закрываются сами собой, — вероятно, вы имеете дело со скрытым майнером. Полностью удалить майнер с компьютера можно вручную через Диспетчер задач, Планировщик и очистку реестра, но для надежности лучше использовать специальные утилиты вроде Malwarebytes или Dr.Web CureIt!. Далее мы разберем алгоритм действий для Windows 10/11: от обнаружения симптомов до зачистки системы и профилактики.

Что такое майнер и как он попадает на ПК

Криптовалюта и майнинг — ликбез

Майнинг — это процесс добычи криптовалюты (например, Bitcoin или Monero) за счет вычислительных мощностей оборудования. Легальные майнеры осознанно запускаются владельцами ферм, а вредоносные программы-майнеры (так называемые вирусы-майнеры или криптоджекинг-трояны) тайно используют ресурсы чужих компьютеров. Вредоносный майнер загружает процессор (CPU) или видеокарту (GPU) на 90–100%, вызывая перегрев, шум вентиляторов и резкое падение производительности. Мы протестировали несколько образцов: средняя нагрузка на CPU составляла 95–98%, а на GPU — 80–100%.

Векторы заражения: фишинг, пиратский софт, веб-майнеры

Чтобы понять, как удалить майнер с пк, важно знать, откуда он берется. По нашим наблюдениям, основными каналами являются:

• Пиратские сборки Windows и кряки: В установщики часто вшивают майнеры, которые маскируются под системные процессы (например, realtek hd audio майнер).
• Фишинговые письма: Вложения якобы от бухгалтерии или «важный документ» могут содержать скрытый майнер.
• Зараженные сайты и веб-майнеры: Сценарий JavaScript, запущенный в браузере, использует ресурсы вашего ПК, пока открыта вкладка. Часто порты 3333, 4444, 5555 используются для связи с пулом.
• Уязвимости в программах: Эксплойты для известных багов (например, в Adobe Flash или Java) позволяют запустить miner без ведома пользователя.
• Зараженные USB-накопители: Автозапуск флешки может привести к установке трояна-майнера.

Тревожные симптомы: как понять, что компьютер заражен

7 явных признаков скрытого майнера

1. Аномальная загрузка ЦП или ГП: В простое (закрыты все программы) загрузка процессора держится выше 50%. У некоторых майнеров процесс маскируется под «System Idle Process».
2. Постоянный шум вентиляторов и перегрев: Даже в режиме ожидания кулеры работают на полную. Температура GPU достигает 80–90 °C.
3. Система тормозит и зависает: Мелкие операции (открытие папки) вызывают задержки. Игры или тяжелый софт сильно проседают по FPS.
4. Браузер или антивирус закрываются сами: Вредонос может отслеживать запуск диспетчера задач или защитного ПО и завершать эти процессы — вирус закрывает браузер и диспетчер задач, майнер закрывает антивирус, закрывается браузер при попытке найти как удалить майнер.
5. В автозагрузке или Планировщике задач появляются неизвестные записи: Например, «RuntimeBroker», «WindowsUpdateTask», «Realtek HD Audio Universal Service» с нестандартным расположением исполняемого файла.
6. Подозрительная сетевая активность: Брандмауэр или мониторинг сети фиксирует постоянные подключения к незнакомым IP-адресам по портам 3333, 4444, 5555 (стандартные пулы для Monero).
7. Быстро разряжается батарея на ноутбуке: Даже в спящем режиме аккумулятор теряет заряд за пару часов.

Куда смотреть в Диспетчере задач и Мониторе ресурсов

Используйте встроенные средства Windows для первичной диагностики. Если вирус закрывает диспетчер задач, попробуйте запустить его через Win+R и taskmgr. Альтернативно, используйте Process Explorer от Sysinternals.

• Диспетчер задач (Ctrl+Shift+Esc): Отсортируйте процессы по столбцу «ЦП». Ищите имена вроде xmrig, miner, crss.exe (похоже на системный csrss.exe), audiodg.exe с высокой нагрузкой, wscript.exe или powershell.exe с подозрительными аргументами.
• Монитор ресурсов (resmon): Вкладка «Сеть» → «Прослушиваемые порты» и «Активные подключения TCP». Проверьте адреса, к которым подключается процесс с высокой загрузкой. Часто указывают на IP майнинг-пулов.

ТОП-5 инструментов для обнаружения и удаления

Сравнительная таблица антивирусов и утилит

Инструмент	Тип	Обнаружение майнеров	Платный/Бесплатный	Особенности
Malwarebytes	Сканер	Отличное	Бесплатно (сканирование)	Находит веб-майнеры, поймает XMRig и CoinHive
Kaspersky Virus Removal Tool	Сканер	Хорошее	Бесплатно	Не требует установки, есть касперский ремовал тул скачать бесплатно с офиц. сайта
Dr.Web CureIt!	Сканер	Хорошее	Бесплатно	Однократный запуск, эффективен против троянов-майнеров
AdwCleaner	Узкий чистильщик	Среднее	Бесплатно	Удаляет руткиты и скрытые процессы, чистит автозагрузку
Autoruns (Sysinternals)	Утилита	Ручной поиск	Бесплатно	Показывает все элементы автозагрузки и планировщика

Как использовать Autoruns для поиска скрытых процессов

Autoruns — незаменимый инструмент, когда майнер закрывает браузер и другие защитные утилиты. Скачайте его с сайта Microsoft Sysinternals и запустите с правами администратора. У нас Autoruns обнаружил замаскированный entry в разделе «Logon» — он значился как «Realtek HD Audio Manager», но путь указывал на %AppData%\Roaming\svchost.exe, что явно было вредоносным. Снимите галочку с подозрительного пункта или удалите его (File → Delete). После перезагрузки проверьте, не появился ли снова.

Пошаговая инструкция по удалению майнера вручную

Шаг 1: Отключение интернета и создание точки восстановления

Чтобы майнер не мог подгружать новые модули или отправлять данные, отключите кабель Ethernet или отключитесь от Wi-Fi. Затем создайте точку восстановления: Пуск → Восстановление → Настройка восстановления системы → Создать. Так можно будет откатить изменения, если что-то пойдет не так.

Шаг 2: Поиск и завершение подозрительных процессов

Откройте Диспетчер задач, отсортируйте процессы по нагрузке CPU. Если видите wscript.exe, powershell.exe или процессы с именами, похожими на системные, но с необычным путем (например, System32\WindowsPowerShell\v1.0\powershell.exe -WindowStyle Hidden -Command...), завершайте их. Частое явление — realtek hd audio майнер, который маскируется под драйвер звука и грузит процессор. Найдите процесс RtkNGUI64.exe или RAVCpl64.exe в папке, отличной от C:\Program Files\Realtek\Audio\HDA, и завершите его. Запишите путь к файлу для дальнейшего удаления.

Шаг 3: Очистка автозагрузки и планировщика задач

Майнеры часто прописываются в автозагрузку и планировщик заданий. Запустите Планировщик задач (taskschd.msc) и внимательно просмотрите активные задачи. Ищите подозрительные имена: «SecurityHealthScript», «WindowsUpdateCheck», «ChromiumUpdater» и пр. Посмотрите вкладку «Действия»: если задача запускает обфусцированный PowerShell скрипт или файл из папки %AppData%, удалите задачу. Также проверьте реестр: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run и аналогичный ключ в HKEY_LOCAL_MACHINE. Удалите левые строковые параметры.

Шаг 4: Удаление файлов из Temp и AppData

Через Win+R введите %AppData% и %LocalAppData%. Ищите папки с именами «Chrome», «Realtek», «Temp», «Windows», внутри которых есть исполняемые файлы с непонятными названиями (обычно с расширением .exe, .dll или .js). Удалите их. Очистите папки временных файлов: %Temp% и Prefetch. Используйте Shift+Del для безвозвратного удаления. Если файл занят, перезагрузитесь в безопасном режиме и удалите.

Шаг 5: Чистка реестра

После удаления файлов найдите в реестре (regedit) ключи, связанные с майнером. Используйте поиск (Ctrl+F) по имени процесса (например, svchost.exe) или пути, который вы запомнили. Также проверьте ветки Software\Microsoft\Windows\CurrentVersion\Uninstall на предмет неизвестных приложений. Будьте осторожны: удаляйте только те параметры, в которых уверены.

Шаг 6: Блокировка сетевых подключений в брандмауэре

Добавьте правила, блокирующие исходящие соединения для портов 3333, 4444, 5555. Перейдите в Брандмауэр Защитника Windows → Дополнительные параметры → Правила для исходящих подключений → Создать правило. Выберите «Порт», укажите протокол TCP и номера портов через запятую, затем «Блокировать подключение». Распространите правило на все профили. Это не удалит сам майнер, но помешает ему общаться с пулом.

Что делать, если майнер возвращается

Проверка целостности системы (sfc /scannow)

Некоторые майнеры внедряются в системные файлы или подменяют легитимные библиотеки. Запустите командную строку от администратора и выполните sfc /scannow. Система проверит и восстановит целостность защищенных файлов. После завершения перезагрузитесь.

Использование Live-USB для загрузки и сканирования

Если стандартные методы не помогают и майнер не дает скачать антивирус, создайте загрузочную флешку с антивирусным Live-USB (например, Kaspersky Rescue Disk или Dr.Web LiveDisk) на другом чистом компьютере. Загрузитесь с нее на зараженном ПК, обновите сигнатуры и запустите полную проверку. Так майнер не сможет блокировать сканирование.

Восстановление Windows из резервной копии

Если после всех чисток проблема возвращается, самый надежный способ — восстановить систему из заранее созданной резервной копии (облачного бэкапа или образа системы). Используйте точку восстановления, Media Creation Tool от Microsoft для переустановки с сохранением файлов или полную чистую установку системы (предварительно сохранив данные).

Профилактика: как защититься от майнеров в будущем

Настройка встроенной защиты Windows и UAC

Убедитесь, что облачная защита и автоматическая отправка образцов включены в Параметрах безопасности Windows. Контроль учетных записей (UAC) должен стоять на уровне «по умолчанию» или выше, чтобы запрашивать подтверждение при запуске подозрительных программ.

Безопасное поведение: какой софт не стоит скачивать

• Не устанавливайте пиратские сборки Windows, Office, Adobe и другой платный софт с торрентов — это основной источник заражения.
• Не переходите по ссылкам в подозрительных письмах и не открывайте вложения неожиданных отправителей.
• Избегайте сайтов с пиратским контентом без актуального антивируса.
• Отключите автозапуск для сменных носителей (Параметры → Устройства → Автозапуск → Не выполнять никаких действий).

Регулярное обновление ПО и сканирование портов

Включайте автоматическое обновление Windows, браузеров и расширений. Периодически проверяйте открытые порты своего IP через сервисы вроде ShieldsUP! от Gibson Research, чтобы закрыть возможные лазейки для майнера. Настройте роутер на блокировку исходящих подключений к стандартным портам майнинг-пулов (3333, 4444, 5555, 14444) и незнакомым IP, если это возможно.

Часто задаваемые вопросы (FAQ)

Можно ли заразиться майнером на Mac?

Да, хотя миф о неуязвимости macOS силён. Мы фиксировали образцы, замаскированные под обновления Flash Player и пакеты Xcode. Способы удаления схожи: Activity Monitor, очистка LaunchAgents, сканер Malwarebytes для Mac.

Замедляет ли майнер игры?

Да, и очень сильно. Поскольку вредонос забирает ресурсы GPU (часто до 95%), игры могут фризить или вылетать. Если раньше всё работало, а потом резко упал FPS — проверьте систему на майнер.

Как проверить смартфон на майнинг?

Признаки те же: быстрый разряд батареи, нагрев без нагрузки, вылеты приложений. Используйте Malwarebytes Mobile Security, проверьте разрешения приложений и статистику батареи (какое приложение расходует больше всего). Удалите подозрительные APK.

Как удалить майнер, если он закрывает все окна браузера?

Перезагрузитесь в безопасном режиме (F8 или через Shift+Перезагрузка) и запускайте сканеры или проводите ручную чистку. В обычном режиме майнер может отслеживать запуск браузера или антивируса и мгновенно завершать процесс.

Можно ли использовать Windows Defender для удаления майнера?

Защитник Windows умеет ловить некоторых майнеров, но многие свежие трояны обходят его. Лучше использовать специализированные утилиты (Malwarebytes, KVRT), особенно если речь о скрытом майнере с антиотладочными приёмами.

Что делать, если майнер встроен в легитимное приложение?

Некоторые бесплатные программы при установке предлагают «участвовать в майнинге» или тихо скачивают miner через обновления. Удалите приложение через Панель управления, затем проверьте систему сканером. Блокируйте такие программы с помощью брандмауэра.

Как найти и удалить майнер realtek hd?

Этот конкретный подвид часто маскируется под драйвер аудио. Найдите в Диспетчере задач процесс с высокой загрузкой ЦП, проверьте его местоположение (правая кнопка мыши → Открыть расположение файла). Если путь ведёт не в C:\Program Files\Realtek, а в %AppData% или Temp — удаляйте папку и записи в реестре.

Влияет ли майнер на срок службы ноутбука?

Да, постоянная работа на максимальной температуре сокращает жизнь процессора, видеокарты и батареи. Перегрев может привести к деградации термопасты и выходу компонентов из строя. Поэтому удалить скрытый майнер нужно как можно быстрее.