Как искать майнеры в Windows без базы вирусов: подпись, место запуска и командная строка (на примере Electron-помощника)
Habr ·
Началось с того, что родственники в очередной раз позвонили: «компьютер тормозит». Я приехал, открыл диспетчер задач и за десять минут нашёл всё то же самое, что находил в прошлые разы. Неподписанный exe со случайным именем в AppData . Процесс svchost.exe , который почему-то лежит в «Загрузках». Папка с документами, открытая по сети для всех. Файл пароли.txt на рабочем столе. Ничего хитрого, обычный набор. Я подумал, что эти десять минут можно автоматизировать, но так, чтобы результат понял человек, который не знает, что такое автозагрузка. Получилась программа «Страж ПК». Это не антивирус: у неё нет базы сигнатур, и она ничего не удаляет без явного «Да». В статье я подробно расскажу, как она устроена: как из подписи, места запуска и командной строки получается оценка подозрительности, как найти связь с майнинг-пулом без вирусной базы, почему нельзя просто открыть файл из облака, как сделаны карантин, сжатие фото и видео, сейф и автообновление. Исходный код открыт (MIT), все фрагменты ниже взяты из него. Читать далее