Приветствую тех, кто читает. Сижу значит никого не трогаю, вдруг начинает кулер процессорный шуметь. Понимаю, что кто то начал загружать мой процессор. Ну я бегом в диспетчер задач, а там пусто и кулер затих. Через какое-то время ситуация повторяется. Понял, что вирус поймал. Скачал drweb cureit и adw cleaner - результата ноль. Поиск в интернетах результата не дал. Значит будем руками искать.
Для начала глянул в автозапуск и планировщик задач - ничего подозрительного.
Зашел в process explorer и обнаружил такого зверя:
Командная строка, которая постоянно перезапускается, причем с таймаутом, как будто чего-то ждет. Заходим в свойства cmd.exe и видим:
Командая строка запускается с параметром, ведущим к некому DataTM.cmd. Вот код, который лежит в батнике:
А вот и файлы в папке с ним:
XMR майнер. Маскируется в процессах под steam я так понимаю и вырубается как только был включен taskmgr или похожие "диспетчеры задач".
Это не значит, что все майнеры так прячутся, но как один из вариантов. Надеюсь кому-то поможет.
Вот ",,,," если где забыл поставить.
Для начала глянул в автозапуск и планировщик задач - ничего подозрительного.
Зашел в process explorer и обнаружил такого зверя:
![1588449665195160571.webp](https://cs9.pikabu.ru/post_img/2020/05/02/12/1588449665195160571.webp)
Командная строка, которая постоянно перезапускается, причем с таймаутом, как будто чего-то ждет. Заходим в свойства cmd.exe и видим:
![1588449763164256121.webp](https://cs9.pikabu.ru/post_img/2020/05/02/12/1588449763164256121.webp)
Командая строка запускается с параметром, ведущим к некому DataTM.cmd. Вот код, который лежит в батнике:
![1588450000163040725.webp](https://cs11.pikabu.ru/post_img/2020/05/02/12/1588450000163040725.webp)
А вот и файлы в папке с ним:
![1588450083119052557.jpg](https://cs13.pikabu.ru/post_img/2020/05/02/12/1588450083119052557.jpg)
XMR майнер. Маскируется в процессах под steam я так понимаю и вырубается как только был включен taskmgr или похожие "диспетчеры задач".
Это не значит, что все майнеры так прячутся, но как один из вариантов. Надеюсь кому-то поможет.
Вот ",,,," если где забыл поставить.
Для просмотра ссылки необходимо нажать
Вход или Регистрация