Разработчик столкнулся с майнером, который блокировал работу системных инструментов, включая диспетчер задач и антивирусы. Ручное удаление вредоносного ПО занимало до одного часа и требовало приостановки процессов, снятия прав доступа к каталогам, а также очистки планировщика задач и файла hosts.
Для автоматизации процесса была создана утилита на языке C#. Инструмент использует WinAPI для приостановки подозрительных процессов и сброса ограничений доступа. В основе работы лежат эвристические алгоритмы, которые начисляют баллы за подозрительные признаки и сравнивают их с пороговыми значениями риска.
Проект, получивший название MinerSearch, прошел путь от консольного скрипта до модульного приложения с 12 сканерами. Архитектура программы теперь разделена на этапы: сканирование, анализ, принятие решения и обработка угрозы. Появилась возможность перемещать файлы в карантин для последующего восстановления.
Текущая версия утилиты поддерживает графический интерфейс для обзора угроз, настройки автоматического принятия решений и несколько режимов работы, включая тихий запуск и поддержку среды WinPE. Разработчик отмечает, что модульная структура упростила расширение функционала и поддержку новых типов угроз.
