Zdalne usuwanie wirusów i złośliwego oprogramowania

Fizyczny dostęp nie jest potrzebny

Większość prac związanych z usuwaniem oprogramowania szkodliwego da się wykonać przez połączenie zdalne równie skutecznie jak na miejscu — o ile komputer się uruchamia i ma dostęp do internetu.

Jak wygląda taka sesja

1. Ustalamy objawy: co się dzieje, od kiedy, co zostało ostatnio zainstalowane albo otwarte.
2. Sprawdzamy procesy działające w tle, programy uruchamiane przy starcie i zaplanowane zadania.
3. Usuwamy szkodliwe składniki wraz z pozostałościami, których zwykłe odinstalowanie nie ruszy.
4. Przywracamy ustawienia przeglądarki i systemu zmienione przez infekcję.
5. Sprawdzamy, czy nie zmieniono ustawień sieciowych i reguł poczty.
6. Zabezpieczamy komputer, żeby to samo nie wróciło.

Kiedy zdalnie się nie da

Gdy komputer nie uruchamia systemu, gdy infekcja blokuje połączenie z internetem albo gdy pliki zostały zaszyfrowane. Ten ostatni przypadek wymaga innego postępowania — odłączenia komputera od sieci i pracy na miejscu, żeby nie rozszerzać szkody.

Zmiana haseł

Po usunięciu infekcji warto zmienić hasła do poczty, bankowości i kont, z których korzystano na tym komputerze. Robi to klient, nie my — i mówimy, w jakiej kolejności, żeby nie zmieniać ich na wciąż zajętym sprzęcie.

Skąd zwykle bierze się infekcja

Z załącznika w poczcie, z programu pobranego spoza strony producenta albo z fałszywego komunikatu w przeglądarce. Pokazujemy, na co zwracać uwagę — to skuteczniejsze niż jakiekolwiek narzędzie.

Różne objawy mogą oznaczać różne rodzaje zagrożeń

Złośliwe oprogramowanie nie zawsze powoduje wyraźną awarię. Czasem pierwszym sygnałem jest wolniejsze uruchamianie systemu, nieznany proces działający w tle albo nagły wzrost użycia procesora i pamięci. Proces to uruchomiony składnik programu, który może pracować nawet wtedy, gdy jego okno nie jest widoczne. Samo duże obciążenie komputera nie potwierdza infekcji, ale wymaga sprawdzenia przyczyny.

Innym wariantem są niechciane dodatki do przeglądarki. Mogą zmieniać stronę startową, wyszukiwarkę, wyświetlać dodatkowe reklamy albo przekierowywać otwierane strony. Rozszerzenie przeglądarki, czyli niewielki moduł dodający nowe funkcje, nie musi być wirusem. Problem pojawia się wtedy, gdy zostało zainstalowane bez świadomej zgody, zbiera dane lub ingeruje w odwiedzane witryny.

Spotykane są również programy podszywające się pod narzędzia ochronne, optymalizatory albo aktualizacje. Wyświetlają alarmujące komunikaty i nakłaniają do zakupu licencji, podania danych płatniczych lub uruchomienia kolejnego pliku. Takie działanie może być oparte na socjotechnice, czyli wywieraniu presji na osobę zamiast wykorzystywania wyłącznie błędu technicznego. Reakcja pod wpływem stresu jest w takich sytuacjach naturalna i nie stanowi powodu do wstydu.

Jeszcze inny przypadek to przejęcie konta bez widocznej infekcji komputera. Wiadomości wysyłane z poczty bez wiedzy właściciela mogą wynikać z ujawnionego hasła, aktywnej sesji na innym urządzeniu albo niebezpiecznej reguły przekazywania poczty. Reguła pocztowa to automatyczne polecenie przenoszące lub przesyłające wiadomości. Dlatego kontrola komputera bywa tylko jednym z etapów, a ustawienia konta trzeba sprawdzić oddzielnie.

Co można sprawdzić podczas połączenia zdalnego

Zakres kontroli dobiera się do objawów. Sprawdzane są między innymi aplikacje uruchamiane wraz z systemem, nieznane usługi, rozszerzenia przeglądarek oraz harmonogram zadań. Usługa systemowa to program działający w tle bez typowego okna, natomiast harmonogram zadań pozwala uruchamiać wskazane czynności automatycznie, na przykład po zalogowaniu użytkownika.

Kontroli wymagają także ustawienia połączenia sieciowego. Złośliwy program może próbować zmienić serwer proxy, czyli pośrednika przekazującego ruch internetowy, albo ustawienia DNS, które tłumaczą nazwy stron na adresy używane przez sieć. Nie każda niestandardowa konfiguracja jest szkodliwa. W firmach podobne ustawienia mogą być celowo wprowadzone przez administratora, dlatego przed zmianą trzeba ustalić ich pochodzenie.

Skanowanie ochronne uzupełnia analizę, ale nie zastępuje sprawdzenia konfiguracji. Pojedynczy wynik narzędzia może dotyczyć niegroźnego pliku, a brak wykrycia nie daje pewności, że wszystkie zmiany zostały cofnięte. Ważne jest zestawienie wyniku skanowania z objawami, lokalizacją pliku oraz sposobem jego uruchamiania. Dopiero wtedy można zdecydować, czy dany składnik należy usunąć.

Podczas sesji nie ma domyślnej potrzeby przekazywania hasła. Jeżeli wykonanie konkretnej czynności bez niego okaże się niemożliwe, najpierw wyjaśniamy, do czego jest potrzebne. W wielu sytuacjach wymagane potwierdzenie można wprowadzić samodzielnie na ekranie komputera. Połączenie zdalne nie oznacza również stałego, nieograniczonego dostępu do urządzenia po zakończeniu pracy.

Błędy popełniane podczas samodzielnego usuwania infekcji

Częstym błędem jest instalowanie kilku przypadkowych programów ochronnych naraz. Narzędzia mogą wzajemnie zakłócać swoją pracę, obciążać system i generować sprzeczne komunikaty. Dodatkowym ryzykiem jest pobranie fałszywego skanera z reklamy lub strony podszywającej się pod producenta. Bezpieczniej przerwać instalowanie kolejnych aplikacji i najpierw ustalić, które składniki już działają.

Samo usunięcie ikony albo odinstalowanie podejrzanego programu też może nie wystarczyć. Pozostałości mogą znajdować się w folderach użytkownika, ustawieniach przeglądarki, wpisach startowych i zaplanowanych zadaniach. Z drugiej strony ręczne kasowanie plików o niezrozumiałych nazwach jest ryzykowne, ponieważ wiele prawidłowych elementów systemu nie ma nazw opisujących ich funkcję. Usunięcie potrzebnego składnika może spowodować kolejne błędy.

Nie należy przywracać na zajętym komputerze dostępu do wszystkich ważnych kont. Jeżeli mechanizm przechwytujący dane nadal działa, nowe hasło może zostać ujawnione tak samo jak poprzednie. Najpierw trzeba ograniczyć zagrożenie i sprawdzić urządzenie. Pilną blokadę dostępu do poczty lub bankowości najlepiej wykonać z innego, zaufanego sprzętu.

Ryzykowne jest także dalsze klikanie w komunikat, aby sprawdzić, dokąd prowadzi. Dotyczy to szczególnie okien z numerem telefonu, żądaniem płatności albo informacją o rzekomej blokadzie systemu. Nie trzeba prowadzić rozmowy z osobą podającą się za pomoc techniczną ani wykonywać przesyłanych przez nią poleceń. Jeśli doszło już do udostępnienia ekranu, sytuację można spokojnie przeanalizować i sprawdzić, co zostało uruchomione lub zmienione.

Kiedy podobny objaw nie oznacza infekcji

Wolna praca komputera może wynikać z braku wolnego miejsca, problemu z dyskiem, przegrzewania albo zbyt dużej liczby prawidłowych aplikacji uruchamianych jednocześnie. Przegrzewanie oznacza wzrost temperatury podzespołów powodujący ograniczenie ich wydajności. Takiej usterki nie usunie program antywirusowy, dlatego przed sformułowaniem wniosku trzeba zestawić kilka objawów.

Reklamy widoczne na jednej stronie nie muszą pochodzić z komputera. Mogą być częścią samej witryny. Podejrzenie rośnie, gdy podobne okna pojawiają się na wielu niezależnych stronach, przeglądarka otwiera nowe karty bez polecenia albo zmienia wyniki wyszukiwania. Warto również odróżnić powiadomienia witryn od infekcji. Powiadomienie jest komunikatem wysyłanym za zgodą udzieloną wcześniej w przeglądarce i często można je wyłączyć w jej ustawieniach.

Niespodziewane logowanie do konta może być skutkiem starej sesji, synchronizacji albo użycia tego samego hasła w innym serwisie, z którego dane wyciekły. Synchronizacja to automatyczne przenoszenie ustawień i danych między urządzeniami. W takim przypadku kontrola systemu nadal może być uzasadniona, ale równie ważne jest sprawdzenie historii logowań, aktywnych urządzeń i metod odzyskiwania konta.

Uszkodzone pliki, niebieski ekran lub problemy z uruchomieniem systemu także nie przesądzają o obecności wirusa. Przyczyną może być błąd sterownika, czyli programu pośredniczącego między systemem a podzespołem, albo awaria sprzętowa. Jeśli system nie uruchamia się stabilnie, zdalna sesja może nie być właściwą metodą diagnozy.

Jak ograniczyć ryzyko przed rozpoczęciem pomocy

Jeśli na ekranie trwa podejrzana sesja z nieznaną osobą, należy ją zakończyć i nie zatwierdzać kolejnych komunikatów. Gdy istnieje podejrzenie szyfrowania plików lub samoczynnego rozprzestrzeniania się zagrożenia, komputer trzeba odłączyć od sieci. Szyfrowanie w tym kontekście oznacza zmianę zawartości plików w sposób uniemożliwiający ich zwykłe otwarcie. Nie należy podłączać do takiego urządzenia dysków z kopiami zapasowymi.

Warto zanotować treść komunikatu, nazwę pobranego pliku i przybliżoną kolejność zdarzeń. Można również wykonać zdjęcie ekranu, o ile nie wymaga to ponownego otwierania podejrzanego elementu. Te informacje pomagają rozpoznać sposób działania zagrożenia. Nie trzeba natomiast samodzielnie wyszukiwać i uruchamiać pliku ponownie.

Jeżeli doszło do płatności, podania danych karty albo zatwierdzenia operacji bankowej, sprawa wykracza poza samo czyszczenie komputera. Należy skontaktować się z bankiem przy użyciu oficjalnego numeru i opisać zdarzenie. W przypadku ujawnienia danych logowania trzeba zabezpieczyć konto z zaufanego urządzenia, a następnie zakończyć obce sesje, jeśli serwis udostępnia taką możliwość.

Dodatkowe pytania dotyczące zdalnego usuwania zagrożeń

Czy zdalna pomoc jest możliwa, gdy przeglądarka wyświetla fałszywy alarm?

Tak, jeśli system działa, internet jest dostępny i można bezpiecznie uruchomić połączenie zdalne. Fałszywy alarm może pochodzić z otwartej strony, zgody na powiadomienia albo niechcianego rozszerzenia. Najpierw ustala się źródło komunikatu, a dopiero później usuwa odpowiedni element. Samo zamknięcie okna może chwilowo ukryć objaw, ale nie zawsze cofa zmianę ustawień.

Czy po usunięciu wirusa trzeba ponownie instalować system?

Nie w każdym przypadku. Ponowna instalacja może być potrzebna, gdy nie można wiarygodnie odtworzyć zmian, uszkodzone zostały ważne składniki systemu albo zagrożenie uzyskało rozległe uprawnienia. W prostszych przypadkach wystarcza usunięcie szkodliwych elementów, cofnięcie ich ustawień i kontrola działania. Decyzja powinna wynikać ze stanu komputera, a nie z samej nazwy wykrycia.

Czy podczas sesji można nadal korzystać z komputera?

Nie jest to zalecane. Równoczesne otwieranie programów, poczty i stron internetowych utrudnia analizę oraz może zmieniać obserwowane procesy. Podczas pracy najlepiej pozostawić komputer włączony i podłączony do stabilnego internetu, ale nie wykonywać na nim operacji na ważnych kontach. Przebieg czynności pozostaje widoczny na ekranie.

Czy zwykły skan antywirusowy wystarczy?

Czasem wykrywa i usuwa główny plik, ale nie zawsze przywraca zmienioną wyszukiwarkę, ustawienia sieciowe, reguły poczty lub mechanizm automatycznego uruchamiania. Wynik skanowania jest jednym ze źródeł informacji. Potrzebna może być również ręczna kontrola konfiguracji i sprawdzenie, czy objawy rzeczywiście ustąpiły.

Co zrobić, gdy po czyszczeniu podejrzany komunikat wraca?

Trzeba zanotować, kiedy dokładnie pojawia się ponownie: po uruchomieniu systemu, otwarciu konkretnej przeglądarki czy zalogowaniu do konta. Powrót objawu może oznaczać pozostawiony mechanizm startowy, synchronizację zmienionych ustawień albo ponowne otwarcie tej samej niebezpiecznej strony. Taka informacja pozwala zawęzić źródło problemu bez przypadkowego kasowania prawidłowych danych.

Ostatnim etapem jest potwierdzenie, że zagrożenie nie wraca

Usunięcie widocznego komunikatu nie kończy pracy. Po czyszczeniu sprawdza się ponowne uruchomienie systemu, działanie przeglądarek, programy startowe oraz podstawowe ustawienia sieciowe. Dopiero brak wcześniejszych objawów po restarcie i kontrola miejsc, w których zagrożenie pozostawiło zmiany, pozwalają uznać zdalne usuwanie za zakończone. Na tej podstawie można bezpiecznie przejść do zmiany haseł i dalszego korzystania z komputera.