На це питання вже є відповідь тут:
Помітивши незначне зниження продуктивності, вирішив встановити провідник процесів, описаний тут: https://security.stackexchange.com/questions/76100/how-to-find-process-that-are-hidden-from-task-manager
Виявлено прихований процес, що займає 80% процесора та видає себе за себе notepad.exe, за допомогою цього командного рядка:
"C:\windows\notepad.exe" -c "C:\ProgramData\fWyfnSWdrs\cfgi"
Перевірив цю папку, знайшов щось схоже на конфігураційні файли, один нахил відкритий, використовуваний процесом, інші мають таке (я видалив інструкцію користувача):
{"algo": "cryptonight",
"background": false,
"colors": true,
"retries": 5,
"retry-pause": 5,
"syslog": false,
"print-time": 60,
"av": 0,
"safe": false,
"cpu-priority": null,
"cpu-affinity": null,
"threads": 8,
"pools": [
{
"url": "185.144.29.36:5450",
"user": <GUID HERE, REMOVED BY ME>,
"pass": "x",
"keepalive": false,
"nicehash": false,
"variant": 1
}
],
"api": {
"port": 0,
"access-token": null,
"worker-id": null
}
}
Деякі гуглінг, і це виглядає як налаштування видобутку криптовалют. Намагався вбити процес - він повертається негайно. Перевірений реєстр для імені папки та служб Windows - не можу знайти те, що запускається.
Спробував пару інших антивірусів - вони не підбирають.
Я не хочу "виганяти його з орбіти", оскільки ця машина не є нічого особливого, достатньо було б просто змусити її зупинитися.
Як я можу знайти, що починається з цього, і вбити його?
Я також хотів би знати, як я це отримав, конфігураційні файли починаються з 20 днів тому, перевіряли мої установки та нічого не бачу з того часу. Вдячні будь-які поради / посилання про те, як це зрозуміти.