Как я поймал на компьютере вирус-майнер На старом ноутбуке давно замечал странности: Windows долго загружалась, программы периодически подвисали, некоторые запускались с большой задержкой. Но руки разобраться всё никак не доходили. В начале года установил утилиту Goida AI Unlocker для доступа к зарубежным нейросетям — ChatGPT, Claude, Gemini. Помимо прочего, она обновляет системный файл hosts, блокируя тысячи мошеннических и вредоносных доменов, в том числе адреса майнинговых пулов. Последняя деталь, возможно, оказалась ключевой в моей истории. Но понял я это позже. Однажды заметил, что командная строка (CMD) и PowerShell закрываются буквально через пару секунд после запуска, даже с правами администратора. Неоднократно проверял компьютер разными утилитами, включая известную многим Dr.Web CureIt!, но ничего прям серьёзного они не находили. Постоянный сторонний антивирус не устанавливал — особой необходимости не видел. Недавно решил всё-таки разобраться до конца. Подключил к делу Claude: поставил задачу провести диагностику Windows и выяснить, почему закрываются системные консоли и как вообще проверять компьютер в таких условиях. Способ диагностики нашёлся, а вместе с ним обнаружился вирус-майнер. Он маскировался под системные компоненты Windows с названиями MicrosoftSystemCache и RuntimeBrokerData. Файлы прятались в папках с двумя атрибутами одновременно — «скрытый» и «системный»: C:\ProgramData\MicrosoftSystemCache C:\ProgramData\InstantSave-... Судя по результатам расследования, история заражения тянется больше трёх лет. Выяснилось, что когда-то сын скачал читы для Counter-Strike, когда хотел поиграть на моём ноутбуке. В архиве с читом обнаружились следы стилера RedLine — вредоносной программы, способной похищать пароли, cookies и данные пользовательских сессий. Примерно через год сын скачал ещё и загрузчик читов ExLoader. После перезагрузок компьютера появились папки с подозрительными программами, а среди них — и папка с майнером XMRig. Майнер мог использовать около 40% мощности процессора, при этом видеокарту не задействовал. Получается, всё это время кто-то мог майнить Monero за мой счёт, а я вдобавок рисковал раскрытием паролей и потерей денег. Есть предположение, что Goida AI Unlocker через hosts перекрыл майнеру доступ к домену пула, после чего возник конфликт, связанный с закрытием CMD и PowerShell. Впрочем, это только моя версия. Четыре вывода из этой истории: 1. Не разрешайте детям скачивать и устанавливать игровые читы и сомнительные модификации. 2. Goida AI Unlocker — не только инструмент для доступа к зарубежным нейросетям, но и дополнительная блокировка нежелательных доменов через hosts. Два замечания по этому пункту: - Аккаунт разработчика на GitHub сейчас недоступен (удалён, возможно), как и его репозитории. Причины мне неизвестны, поэтому не могу однозначно рекомендовать — на страх и риск. Найти программу теперь его на страничке на sourceforge.net - На нынешнем ПК я отказался от Goida: она конфликтует с моим VPN (amnezia) при работе с нейронками. 3. Если интересно, в комментариях выложу итоговый audit.cmd — диагностический скрипт, который подготовил Claude и дополнительно проверил ChatGPT. Он проверяет Windows на подозрительные процессы, файлы и другие следы заражения, выводит результаты диагностики и предлагает меры по усилению безопасности. 4. Доверия к Dr. Web CureIt больше нет. Впрочем, к Касперскому и другим антивирусам особых иллюзий тоже не питаю. А у сына теперь свой ПК и там есть другая проблема, над которой ломаю голову: почему загрузка мощного ПК стала занимать более 5 минут, а диагностика показывает, что всё летает.