Usuwanie wirusów i złośliwego oprogramowania

Spowolniony system, nieznane programy uruchamiające się razem z komputerem albo przeglądarka otwierająca reklamy bez powodu to zwykle objaw infekcji, a nie usterki sprzętowej. Usunięcie samego szkodliwego programu bywa jednak tylko połową pracy.

Dlaczego jeden skaner to za mało

Skanujemy system kilkoma niezależnymi narzędziami, bo pojedynczy program potrafi przeoczyć część zagrożeń — zwłaszcza tych, które ukrywają się głębiej: w mechanizmie uruchamiania systemu, w zadaniach zaplanowanych albo w rozszerzeniach przeglądarki. Różne narzędzia mają różne bazy sygnatur i to, co jedno pomija, drugie wychwytuje.

Co sprawdzamy poza samym skanowaniem

• Programy uruchamiane przy starcie systemu i zaplanowane zadania.
• Rozszerzenia przeglądarek — najczęstsze miejsce, w którym zostaje to, co „usunął" antywirus.
• Ustawienia serwerów nazw i serwera pośredniczącego, przez które ruch bywa przekierowywany.
• Ustawienia strony startowej i domyślnej wyszukiwarki.
• Konta użytkowników — czy nie powstało dodatkowe.

Sprawa, o której łatwo zapomnieć

Przy poważniejszych infekcjach sprawdzamy, czy nie doszło do wyprowadzenia haseł zapisanych w przeglądarce. Usunięcie szkodliwego programu nie unieważnia danych, które zdążył wysłać — dlatego mówimy wprost, które hasła warto zmienić i w jakiej kolejności zacząć od poczty, bo to od niej odzyskuje się dostęp do reszty.

Ile to trwa

Usunięcie infekcji z kontrolą ustawień zamyka się zwykle w jednym dniu roboczym. Część takich zgłoszeń da się obsłużyć zdalnie, bez przekazywania sprzętu.

Kiedy proponujemy instalację systemu od nowa

Jeśli infekcja naruszyła pliki systemowe albo mamy do czynienia z oprogramowaniem szyfrującym dane, samo czyszczenie nie daje pewności. Mówimy o tym wprost i przedstawiamy różnicę: czyszczenie jest szybsze, instalacja od nowa daje pewność, ale wymaga odtworzenia środowiska pracy.

Różne rodzaje infekcji dają różne objawy

Złośliwe oprogramowanie nie zawsze działa w sposób widoczny. Adware, czyli program wyświetlający niechciane reklamy, zwykle zmienia zachowanie przeglądarki, dodaje rozszerzenia albo otwiera nowe karty. Porywacz przeglądarki zmienia natomiast wyszukiwarkę, stronę startową lub sposób przekierowywania zapytań. Takie objawy mogą występować tylko na jednym koncie użytkownika, dlatego porównujemy zachowanie systemu także poza używanym profilem.

Inaczej zachowuje się program wykradający dane. Może nie wyświetlać żadnych komunikatów i nie spowalniać komputera w zauważalny sposób. Jego zadaniem bywa przechwycenie zapisanych haseł, plików cookie, czyli danych podtrzymujących zalogowaną sesję, albo informacji wpisywanych do formularzy. W takim przypadku ważne jest nie tylko oczyszczenie systemu, lecz także zakończenie aktywnych sesji na kontach i zmiana danych dostępowych z urządzenia uznanego za bezpieczne.

Osobną kategorią jest ransomware, czyli oprogramowanie szyfrujące pliki i żądające zapłaty za ich odblokowanie. Po zauważeniu zmienionych nazw plików, nietypowych rozszerzeń albo komunikatu z żądaniem okupu należy przerwać pracę na komputerze. Dalsze zapisywanie danych może utrudnić ocenę sytuacji. Najpierw trzeba ustalić, co zostało zaszyfrowane, czy istnieje niezależna kopia zapasowa i czy zainfekowane urządzenie miało dostęp do innych dysków lub zasobów sieciowych.

Co zrobić po zauważeniu podejrzanego zachowania

Komputer warto odłączyć od sieci, jeśli samoczynnie wysyła wiadomości, wykonuje nieznane operacje albo pojawiły się oznaki szyfrowania danych. Odłączenie przewodu sieciowego i wyłączenie połączenia Wi-Fi ogranicza dalszą komunikację programu z internetem oraz innymi urządzeniami. Nie należy jednak pochopnie usuwać wszystkich plików ani przywracać ustawień fabrycznych, ponieważ takie działania mogą zniszczyć informacje potrzebne do ustalenia zakresu infekcji.

Jeżeli podejrzenie dotyczy przejęcia konta pocztowego, bankowego lub firmowego, hasło należy zmienić na innym, sprawdzonym urządzeniu. W pierwszej kolejności zabezpiecza się pocztę, ponieważ służy ona zwykle do resetowania haseł w pozostałych usługach. Następnie warto zakończyć inne aktywne sesje i włączyć uwierzytelnianie wieloskładnikowe, czyli dodatkowe potwierdzenie logowania kodem lub aplikacją. Samo wpisanie nowego hasła na nadal zainfekowanym komputerze może ujawnić je ponownie.

Nie trzeba przygotowywać hasła do systemu przed zgłoszeniem. Prosimy o nie tylko wtedy, gdy bez dostępu do konkretnego profilu nie można sprawdzić występującego objawu, a powód jest wcześniej wyjaśniany. Jeżeli komputer zawiera dane służbowe lub poufne, na życzenie można bezpłatnie podpisać NDA, czyli umowę o zachowaniu poufności. Naprawy nie są przekazywane podwykonawcom.

Najczęstsze błędy podczas samodzielnego czyszczenia

Jednym z częstych błędów jest instalowanie wielu programów ochronnych działających jednocześnie. Każdy z nich kontroluje te same pliki i procesy, przez co mogą wzajemnie zakłócać pracę, powodować spowolnienia albo wyświetlać sprzeczne komunikaty. Większa liczba aktywnych programów nie oznacza automatycznie lepszej ochrony. Narzędzia diagnostyczne dobiera się do objawów i uruchamia w kontrolowanej kolejności.

Ryzykowne jest również pobieranie przypadkowych „czyścicieli” z reklam i wyskakujących okien. Komunikat informujący o wykryciu setek problemów może być częścią reklamy albo próbą nakłonienia do instalacji kolejnego niepożądanego programu. Dotyczy to także fałszywych powiadomień przeglądarki. Wyglądają jak ostrzeżenia systemowe, lecz w rzeczywistości pochodzą ze strony, której wcześniej udzielono zgody na wysyłanie komunikatów.

Usunięcie widocznej aplikacji z listy programów także nie zawsze kończy problem. Mogą pozostać składniki uruchamiane automatycznie, zmienione zasady przeglądarki, usługa systemowa, czyli proces działający w tle, albo zaplanowane zadanie uruchamiające plik ponownie. Z tego powodu po czyszczeniu kontrolujemy, czy objawy nie wracają po ponownym uruchomieniu komputera.

Kolejnym błędem jest kasowanie plików oznaczonych niezrozumiałą nazwą wyłącznie dlatego, że wydają się podejrzane. Legalne składniki systemu i sterowników również mogą mieć techniczne nazwy. Ich przypadkowe usunięcie może spowodować problemy z uruchomieniem Windows, siecią albo obsługą urządzeń. Podejrzany element trzeba ocenić na podstawie jego lokalizacji, podpisu cyfrowego, czyli informacji o wydawcy, sposobu uruchamiania i powiązania z obserwowanym objawem.

Kiedy spowolnienie nie oznacza infekcji

Wolna praca komputera może mieć przyczynę sprzętową lub wynikać z konfiguracji systemu. Zapełniony albo zużyty dysk, niedostateczna ilość pamięci operacyjnej, przegrzewanie się podzespołów i duża liczba legalnych programów uruchamianych przy starcie mogą dawać objawy podobne do infekcji. Różnica nie zawsze jest widoczna bez diagnostyki, dlatego sprawdzamy zarówno stan systemu, jak i podstawowe parametry sprzętu.

Samoczynne otwieranie stron nie musi wynikać z wirusa działającego w całym systemie. Przyczyną może być pojedyncze rozszerzenie, zgoda na powiadomienia z nieuczciwej witryny albo synchronizacja niepożądanego ustawienia przez konto przeglądarki. Jeżeli problem pojawia się na kilku urządzeniach zalogowanych do tego samego profilu, trzeba sprawdzić także dane synchronizowane w chmurze. W przeciwnym razie zmienione ustawienie może wrócić po zakończeniu czyszczenia.

Nie każdy komunikat o błędzie oznacza również działanie szkodliwego programu. Uszkodzona aktualizacja, konflikt sterownika albo brak miejsca na dysku mogą prowadzić do zawieszania aplikacji i restartów. Z kolei głośna praca wentylatora może wynikać z obciążenia procesora przez infekcję, ale również z kurzu albo niesprawnego układu chłodzenia. Rozpoznanie przyczyny pozwala uniknąć czyszczenia systemu, gdy potrzebna jest inna usługa.

Jak wygląda usuwanie zagrożenia krok po kroku

Najpierw ustalamy, kiedy pojawiły się objawy i jakie działania je poprzedzały. Znaczenie może mieć instalacja programu, otwarcie załącznika, zgoda na powiadomienia albo kontakt z osobą podszywającą się pod pomoc techniczną. Pytania służą odtworzeniu przebiegu zdarzenia, a nie ocenianiu sposobu, w jaki doszło do infekcji.

Następnie sprawdzamy aktywne procesy, czyli aktualnie działające programy, miejsca automatycznego uruchamiania oraz konfigurację sieci i przeglądarek. Skanowanie wykonujemy tak, aby znaleźć zarówno właściwy szkodliwy plik, jak i mechanizm, który może go odtworzyć. Po usunięciu zagrożenia uruchamiamy komputer ponownie i kontrolujemy, czy ustawienia pozostają prawidłowe.

Końcowy etap obejmuje aktualizację systemu i używanego oprogramowania, jeśli jest to potrzebne do zamknięcia wykorzystanej luki, czyli błędu pozwalającego ominąć zabezpieczenia. Sprawdzamy także podstawową ochronę systemu oraz informujemy, które konta wymagają dodatkowego zabezpieczenia. Jeżeli potrzebna jest ponowna instalacja Windows, zakres odtwarzanych danych i programów jest wcześniej uzgadniany.

Usługa zdalna, wizyta serwisanta czy odbiór komputera

Prostsze przypadki można obsłużyć zdalnie, jeżeli Windows uruchamia się poprawnie, połączenie z internetem jest stabilne, a użytkownik może świadomie zatwierdzić połączenie. Zdalna pomoc nie jest dobrym rozwiązaniem, gdy infekcja zrywa połączenie, blokuje uruchomienie systemu, szyfruje dane albo istnieje podejrzenie, że ktoś nadal kontroluje komputer.

Wizyta serwisanta oznacza pracę wykonywaną na miejscu. Dojazd jest bezpłatny, natomiast czas pracy pozostaje płatny niezależnie od wyniku. Przy problemie wymagającym dłuższego skanowania, pracy na odłączonym dysku albo ponownej instalacji systemu wygodniejszy może być odbiór urządzenia przez kierowcę i późniejszy zwrot pod wskazany adres.

W trybie door-to-door diagnoza laptopa jest bezpłatna. Dla komputera stacjonarnego diagnostyka kosztuje 200 zł i jest zaliczana na poczet naprawy. Gdy naprawa laptopa potrwa dłużej, dostępny jest bezpłatny laptop zastępczy z Windows, bez kaucji i bez limitu czasowego. Usługi realizujemy w Warszawie oraz w powiatach: warszawskim zachodnim, legionowskim, nowodworskim, wołomińskim, mińskim, otwockim, piaseczyńskim, pruszkowskim i grodziskim.

Dodatkowe pytania dotyczące infekcji

Czy po usunięciu wirusa wszystkie hasła są bezpieczne?

Nie można tego zakładać. Jeżeli program miał dostęp do zapisanych danych albo przechwytywał wpisywane informacje, wcześniejsze hasła mogły zostać skopiowane przed czyszczeniem. W takiej sytuacji wskazujemy kolejność zabezpieczania kont. Nowe hasła powinny być unikalne, a zmiana powinna nastąpić dopiero na sprawdzonym urządzeniu lub po potwierdzeniu, że system został oczyszczony.

Czy zainfekowany komputer może zagrozić innym urządzeniom?

Takie ryzyko zależy od rodzaju zagrożenia. Niektóre programy próbują korzystać z folderów udostępnionych, serwerów plików albo innych dostępnych zasobów sieciowych. Dlatego przy podejrzeniu poważnej infekcji sprawdzamy, do czego komputer był podłączony. W firmie może być potrzebna kontrola innych stanowisk, kopii zapasowych i kont używanych do dostępu do wspólnych danych.

Czy trzeba usuwać wszystkie prywatne pliki?

Zwykle nie. Dokumenty, zdjęcia i inne dane można sprawdzić oraz oddzielić od plików wykonywalnych, czyli programów zdolnych do uruchamiania poleceń. Sposób postępowania zależy jednak od rodzaju infekcji. W przypadku szyfrowania, uszkodzenia systemu albo niepewnego pochodzenia plików najpierw wykonuje się ocenę, a dopiero potem decyduje o kopiowaniu lub odtwarzaniu danych.

Czy program antywirusowy wystarczy, aby problem nie wrócił?

Program ochronny jest jednym z elementów zabezpieczenia, ale nie zastępuje aktualizacji, ostrożności przy załącznikach i kontroli uprawnień. Ważne są również kopie zapasowe przechowywane niezależnie od komputera. Jeżeli kopia pozostaje stale dostępna jako zwykły dysk lub folder sieciowy, część zagrożeń może objąć także ją.

Czy po telefonie od fałszywej pomocy technicznej trzeba wyłączyć komputer?

Jeżeli obca osoba uzyskała zdalny dostęp, komputer należy odłączyć od internetu i nie logować się na nim do poczty, banku ani innych ważnych usług. Nie ma powodu do wstydu ani do ukrywania przebiegu rozmowy. Informacja o zainstalowanym programie, wykonanych przelewach i podanych danych pomaga dobrać właściwe działania oraz ustalić, które konta trzeba zabezpieczyć w pierwszej kolejności.

Po czyszczeniu liczy się pewność, że zagrożenie nie wraca

Skuteczne usuwanie złośliwego oprogramowania kończy się dopiero wtedy, gdy system uruchamia się bez podejrzanych procesów, przeglądarka zachowuje prawidłowe ustawienia, a mechanizmy ponownego uruchamiania infekcji zostały wyeliminowane. W razie potrzeby przekazujemy również zalecenia dotyczące haseł, kopii zapasowych i aktualizacji. Zgłoszenie można omówić telefonicznie pod numerem22 378 48 90, opisując zauważone objawy i okoliczności ich pojawienia się.