Почему вирус запускается после перезагрузки и как это предотвратить

После перезагрузки компьютера вредоносное ПО часто продолжает работать, потому что оно разместило себя в местах, из которых операционная система автоматически запускает программы при старте. Такие места называют механизмами persistence (устойчивости). Если удалить только файл вируса, но оставить запись в одном из этих мест, система вновь загрузит вредоносный код при следующем старте.

Основные способы persistence в Windows

Windows предоставляет множество легитимных способов автозапуска приложений. Злоумышленники используют те же пути, чтобы обеспечить запуск своего кода без участия пользователя.

Реестр

Наиболее часто используемые ветки:

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run – запуск для текущего пользователя.
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run – запуск для всех пользователей.
• … \RunOnce – однократный запуск при следующем входе в систему.
• … \Policies\Explorer\Run – запуск через политики группы.

Записи содержат путь к исполняемому файлу или команду, которую система выполнит при входе в систему.

Папка автозагрузки

Файлы, помещённые в следующие каталоги, запускаются при входе пользователя:

• %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup – для текущего пользователя.
• %PROGRAMDATA%\Microsoft\Windows\Start Menu\Programs\Startup – для всех пользователей.

Планировщик задач

Задача, созданная в планировщике, может быть настроена на запуск при входе в систему, при загрузке или по расписанию. Злоумышленники часто создают задачи с именами, похожими на системные, чтобы избежать подозрений.

Службы

Служба, зарегистрированная в HKLM\System\CurrentControlSet\Services с типом запуска Automatic или Automatic (Delayed Start), будет стартовать вместе с ядром ОС. Некоторые вредоносные программы маскируются под легитимные службы.

Драйверы

Драйвер в режиме ядра загружается очень рано в процессе загрузки. Если вредоносный код установлен как драйвер, он получает высокий уровень привилегий и трудно обнаруживается обычными средствами.

WMI-события

Windows Management Instrumentation позволяет создавать постоянные потребители событий, которые срабатывают при определённых системных событиях (например, при входе пользователя). Злоумышленники могут привязать свой скрипт к таким событиям.

Браузерные расширения и плагины

Некоторые вирусы устанавливают вредоносные расширения в браузеры, которые запускаются вместе с браузером и могут выполнять код в контексте пользователя.

Другие уровни persistence

Помимо стандартных автозапусков Windows, существуют более глубокие механизмы, позволяющие вредоносному ПО пережить даже переустановку операционной системы.

Загрузочный сектор (MBR) и GPT

Вирус может записать свой код в главный загрузочный сектор диска или в EFI системный раздел. При включении компьютера BIOS/UEFI сначала выполняет код из этого сектора, прежде чем передать управление загрузчику Windows. Такой тип заражения называется bootkit.

UEFI/BIOS прошивка

Редко, но возможна прошивка вредоносного кода в саму прошивку материнской платы или UEFI. При этом вирус будет активен даже после замены жёсткого диска.

Внешние устройства

Некоторые вредоносные программы копируются на подключённые USB‑накопители и autorun.inf, чтобы распространяться при последующем подключении к другим машинам.

Как проверить наличие механизмов persistence

Для выявления скрытых точек автозапуска удобно использовать специализированные утилиты, которые агрегируют данные из всех известных мест. Ручная проверка тоже возможна, но требует внимания к множеству разделов реестра и файловой системы.

Использование Autoruns (Sysinternals)

1. Скачайте портативную версию Autoruns с официального сайта Microsoft.
2. Запустите программу от имени администратора.
3. Во вкладке «Logon» отобразятся записи из реестра Run, папок автозагрузки и планировщика задач.
4. Вкладка «Services» покажет службы с типом запуска Automatic.
5. Вкладка «Drivers» выведет загруженные драйверы режима ядра.
6. Вкладка «Winlogon» и «Internet Explorer» помогут найти WMI‑потребители и браузерные расширения.
7. Отметьте подозрительные записи (неизвестный издатель, странный путь, отсутствие подписи) и отключите их, установив флажок в положение «No».
8. После внесения изменений перезагрузите компьютер и проверьте, исчезла ли проблема.

Ручная проверка через реестр

Если утилита недоступна, можно открыть редактор реестра (regedit) и последовательно проверить перечисленные выше ветки. Обращайте внимание на:

• Пути, указывающие на файлы в временных папках (%TEMP%, %APPDATA%).
• Исполняемые файлы с необычными расширениями (.pif, .scr, .vbs).
• Записи, содержащие только имена без пути – система будет искать их в переменной PATH.

Планировщик задач

Откройте планировщик (taskschd.msc) и просмотрите библиотеку задач. Обратите внимание на задачи с триггером «При входе в систему» или «При загрузке».

Службы

В консоли служб (services.msc) отсортируйте список по типу запуска. Нестандартные имена или пути к исполняемым файлам в несистемных каталогах заслуживают проверки.

Как удалить persistence

Обнаружив подозрительную запись, её достаточно отключить или удалить. Однако важно также удалить сам вредоносный файл, иначе при следующем запуске он может восстановить запись.

Шаги после отключения в Autoruns

1. Запомните полный путь к файлу, указанный в записи.
2. Отключите запись (снимите галочку) и перезагрузите компьютер.
3. После загрузки проверьте, не запустился ли процесс снова (диспетчер задач → вкладка «Подробности»).
4. Если процесс отсутствует, перейдите к файлу и удалите его. Если файл защищён или используется, загрузитесь в безопасном режиме и повторите попытку.
5. После удаления выполните полное сканирование антивирусом или анти‑руткит‑утилитой (например, Malwarebytes, HitmanPro).

Удаление задач планировщика

В планировщике выберите задачу, нажмите «Удалить». После этого проверьте, не существует ли файла, указанного в действии задачи, и удалите его при необходимости.

Удаление служб и драйверов

Для службы:

1. Откройте командную строку от администратора.
2. Выполните sc stop <имя_службы>.
3. Затем sc delete <имя_службы>.
4. Удалите связанный файл, если он находится в несистемной папке.

Для драйвера потребуется загрузка в безопасном режиме с отключённым принудительным podpisом драйверов (bcdedit /set testsigning on перезагрузка, затем удаление через pnputil /delete-driver ).

Очистка загрузочного сектора

Если подозревается заражение MBR или EFI разделе, используйте утилиту bootrec /fixmbr и bootrec /fixboot из среды восстановления Windows. Для GPT/EFI можно применить bcdboot C:\Windows /s S: (где S – буфер EFI системного раздела). Эти действия перезапишут загрузчик, удаляя вредоносный код. Перед выполнением рекомендуется создать резервную копию важных данных.

Профилактика повторного заражения

После очистки системы полезно принять меры, снижающие вероятность нового внедрения persistence.

• Регулярно обновляйте операционную систему и установленное ПО – многие эксплойты используют известные уязвимости.
• Запускайте антивирус с актуальными базами и включайте защиту в реальном времени.
• Ограничьте права учётной записи: используйте стандартную учётную запись для повседневной работы, а администратора – только для установки программ.
• Отключите автозапуск с внешних носителей (Autoplay) в панели управления.
• Проверяйте подписи цифровых сертификатов у установленных драйверов и служб – неподписанные компоненты следует рассматривать с подозрением.
• Периодически запускайте Autoruns или аналогичный сканер и просматривайте новые записи.

Типичные ошибки при попытке удалить вирус

Неправильные действия могут привести к тому, что вредоносное ПО останется активным или система станет нестабильной.

Удаление только файла

Как уже отмечалось, если не очистить запись автозапуска, вирус будет восстановлен при следующем входе.

Отключение записи без перезагрузки

Некоторые вирусы перезаписывают свою запись в реальном времени. Необходимо перезагрузиться после внесения изменений, чтобы убедиться, что запись больше не применяется.

Игнорирование скрытых и системных файлов

Вредоносные файлы часто имеют атрибуты скрытый и системный, делая их невидимыми в обычном проводнике. При поиске включайте отображение таких файлов.

Использование непроверенных «чистилок»

Некоторые сторонние программы обещают мгновенное удаление, но сами могут содержать рекламное или вредоносное ПО. Предпочитайте проверенные инструменты от известных разработчиков.

Когда следует обратиться к специалисту

Если после выполнения всех перечисленных шагов вредоносный процесс продолжает появляться, либо система демонстрирует нестабильность (синие экраны, бесконечные перезагрузки), вероятно, затрагиваются глубокие уровни прошивки или загрузочного сектора. В таких случаях:

• Создайте резервную копию важных данных на внешний носитель, не подключённый к заражённой машине.
• Воспользуйтесь средством восстановления системы или выполните чистую установку ОС с форматированием диска.
• Если подозревается заражение UEFI/BIOS, обратитесь в службу поддержки производителя материнской платы для перепрошивки прошивки.

Понимание того, почему вирус запускается после перезагрузки, позволяет сосредоточиться на поиске и удалении механизмов persistence, а не только на самом файле вредоносного кода. Регулярная проверка автозапуска, использование надёжных инструментов и соблюдение базовых правил гигиены кибербезопасности значительно снижают риск повторного заражения.