Скрытый майнинг в сборках Windows: почему ваша «бесплатная» система кому-то платит

Что происходит
Пиратская сборка Windows обещает лёгкую систему без лишнего — вырезанную телеметрию, отключённый Defender, никакого магазина. Внутри часто лежит кое-что другое: скрытый майнер, который тихо жжёт ваш процессор и видеокарту, пока кто-то на другом конце интернета получает криптовалюту на свой кошелёк.
Это не единичные случаи. В 2023 году «Доктор Веб» обнаружила в пиратских сборках Windows 10 троян-стилер Trojan.Clipper.231, который прописался даже в EFI-разделе — обычная переустановка системы помогала не всегда. Microsoft раскрывала кампании из более чем 150 сайтов-двойников известных утилит: HWMonitor, CrystalDiskInfo, FurMark, K-Lite Codec Pack. Поддельные ссылки всплывали даже в ответах ИИ-чатов — скачали программу, получили GPU-майнер. Исследователи из Elastic описали REVSTEALER — инфостилер, который собирает пароли и куки, удаляет себя, но оставляет модуль с XMRig, запущенный внутри системных процессов nslookup.exe и svchost.exe.
Почему именно сборки Windows
Экономика простая. Майнинг на чужом железе — это бесплатное электричество, бесплатное оборудование и нулевой риск для злоумышленника. Пользователь сам скачивает сборку, сам отключает антивирус по инструкции к активатору и сам даёт вредоносному коду права администратора. Не нужно взламывать систему, не нужно обходить сетевую защиту — жертва делает всю работу сама.
Криптоджекинг выгоднее выкупа. По данным «Лаборатории Касперского», один из самых массовых векторов заражения — это установка программ из недоверенных источников и попытка нелегально их активировать. В отличие от программ-вымогателей, которые требуют разовый платёж и сразу привлекают внимание, скрытый майнер может работать месяцами. Исследователи оценивают потенциальный доход от криптоджекинга до $40 500 в месяц при достаточном количестве заражённых машин.
Monero — идеальная валюта для скрытого майнинга. Большинство встроенных майнеров работают не с биткоином, а с Monero (XMR). Monero разработан так, чтобы транзакции было невозможно отследить, а майнинг эффективно идёт на обычных процессорах — не нужна дорогая ASIC-ферма. Инструмент XMRig, на базе которого строят большинство скрытых майнеров, легален и открыт, но его свободно модифицируют: добавляют скрытый запуск, маскировку под системные процессы и защиту от анализа.
Как это работает технически
Схема заражения обычно многоступенчатая:
Троян-загрузчик попадает в систему вместе со сборкой или активатором. Часто это файл в папке Windows\Installer с безобидным названием вроде iscsicli.exe.
Дроппер монтирует скрытый EFI-раздел, копирует туда остальные компоненты и удаляет оригиналы с видимого диска.
Инжектор внедряет майнер в легальный системный процесс (например, svchost.exe или lsaiso.exe) с помощью техники Process Hollowing — подмены кода внутри легитимного процесса.
Сам майнер (обычно модифицированный XMRig) подключается к майнинг-пулу и начинает добычу Monero на кошелёк злоумышленника.
Параллельно сборка делает систему «удобной» для майнера: отключает Windows Defender, удаляет службы и задачи Windows Update, прописывает исключения в антивирус. Система перестаёт получать патчи безопасности и не сообщает об этом пользователю.
Некоторые майнеры применяют дополнительные трюки маскировки:
Пауза при открытии Диспетчера задач — нагрузка падает до нуля, стоит лишь вызвать утилиту. Пользователь видит нормальную картину и закрывает окно.
Обфусцированные PowerShell-скрипты — код выглядит как обычный системный скрипт, а на деле скачивает и запускает XMRig из памяти, не сохраняя файлов на диск.
Стеганография — полезная нагрузка прячется внутри картинок JPG или PNG. Скрипт извлекает код из пикселей изображения и исполняет его.
Что помимо майнера
Майнер — не единственный «бонус» в заражённой сборке. В 2023 году Dr.Web нашла в пиратских сборках Windows 10 троян-клипер .......... Статья слишком длинная продолжение читайте по ссылке - https://po-udalenke.ru/blog/?skrytyy-mayning-v-sborkah-windows