Пошаговое сканирование системы после заражения: как проверить компьютер и не пропустить угрозу

Если есть подозрение, что компьютер заражён, сканировать систему «как обычно» — недостаточно. Многие вредоносные программы умеют маскироваться: они блокируют антивирус, восстанавливают свои файлы после удаления и прописываются в автозагрузке заново. Поэтому после заражения проверка проводится по особому сценарию — с загрузкой в безопасном режиме или с внешнего носителя, несколькими инструментами и обязательной ревизией того, что запускается вместе с системой. Ниже — полный порядок действий от подготовки до финальной проверки.

Когда обычного сканирования недостаточно

Обычная проверка установленным антивирусом рассчитана на профилактику: она ловит угрозы до того, как те закрепятся в системе. После реального заражения ситуация другая. Вредонос уже успел выполнить часть кода, и главная задача — найти не только сами файлы, но и следы закрепления.

Признаки, по которым стоит подозревать активное заражение:

• компьютер стал заметно медленнее без изменения нагрузки;
• браузер сам открывает страницы, меняет поисковик или домашнюю страницу;
• появилась реклама там, где её раньше не было, в том числе на сайтах без рекламы;
• антивирус отключается сам, не обновляется или его нельзя открыть;
• диспетчер задач закрывается сразу после запуска;
• файлы переименовались, получили странное расширение или перестали открываться (типичный признак шифровальщика);
• неизвестные программы в автозагрузке и незнакомые процессы с бессмысленными именами;
• резко вырос сетевой трафик при вашей неактивности.

Если наблюдается хотя бы два-три признака одновременно, вероятность заражения высокая, и нужна полноценная процедура, а не разовая проверка по требованию.

Подготовка перед сканированием

От подготовки зависит, увидит ли антивирус то, что нужно найти. Пропустив этот этап, вы рискуете получить «чистый» отчёт при живой инфекции.

1. Отключите компьютер от сети

Физически отсоедините кабель или выключите Wi-Fi. Это решает две задачи: прекращает передачу ваших данных наружу (пароли, файлы, переписка) и мешает вредоносу докачивать дополнительные модули или обращаться к командному серверу. Исключение — если для лечения понадобится скачать утилиты: тогда подключитесь кратковременно, скачайте всё необходимое и снова отключитесь.

2. Сохраните важные данные — но осторожно

Если на диске есть документы, которые жалко потерять, скопируйте их на внешний носитель до лечения. Но делайте это осознанно: вместе с файлами можно перенести и заразу. Не копируйте исполняемые файлы, архивы из сомнительных источников и ничего из папок загрузок. Документы, фото и таблицы — относительно безопасны; программы и скрипты — нет. Если заражение похоже на шифровальщик (файлы переименованы и не открываются), копирование бессмысленно — данные уже повреждены, а вопрос восстановления решается иначе.

3. Подготовьте инструменты заранее

На другом, заведомо чистом компьютере скачайте и запишите на флешку:

• свежую версию вашего основного антивируса или бесплатный сканер другого производителя (второе мнение полезно, потому что базы и эвристики у разных продуктов различаются);
• автономный сканер, который запускается до загрузки Windows — такие инструменты выпускают крупные антивирусные компании под названиями вроде Rescue Disk или Emergency Scan;
• утилиту для просмотра автозагрузки и процессов (например, Autoruns от Microsoft Sysinternals) — она покажет гораздо больше точек запуска, чем штатный диспетчер задач.

Обновите базы всех инструментов непосредственно перед записью: устаревшие сигнатуры — самая частая причина ложно-чистого результата.

Шаг 1. Проверка до загрузки Windows

Самый надёжный первый шаг — автономное сканирование с загрузочной флешки. Пока Windows не запущена, вредонос неактивен и не может защищать свои файлы или блокировать антивирус. Именно поэтому этот этап идёт первым, а не наоборот.

1. Загрузите компьютер с подготовленной флешки (при включении выберите её в загрузочном меню — обычно клавиша F12, F11, Esc или меню Boot в BIOS/UEFI).
2. Дождитесь полной загрузки среды сканера и обновите базы, если среда позволяет работать с сетью; если нет — используйте версии, записанные накануне.
3. Запустите полную проверку всех дисков, а не быструю. Быстрое сканирование смотрит только типичные места и пропускает всё остальное.
4. По завершении изучите отчёт: обратите внимание не только на найденные объекты, но и на предупреждения о подозрительных изменениях в загрузочных записях диска (MBR, UEFI) — их трогают некоторые сложные угрозы.
5. Выполните рекомендованные действия: лечение или удаление. Для файлов, которые сканер пометил как «подозрительные», но не подтвердил, лучше выбрать карантин, а не немедленное удаление.

Если загрузочная проверка недоступна (например, нет второй машины, чтобы приготовить флешку), переходите к следующему шагу — безопасному режиму даёт сопоставимый эффект, хоть и чуть слабее.

Шаг 2. Полное сканирование в безопасном режиме

Безопасный режим загружает Windows минимальным набором драйверов и служб. Большинство вредоносных программ при этом не запускается, поэтому антивирус получает доступ к их файлам.

1. Перезагрузите компьютер и войдите в безопасный режим. В Windows 10 и 11 это делается через «Параметры → Система → Восстановление → Особые варианты загрузки», либо удержанием Shift при выборе «Перезагрузка». Точный путь может отличаться в зависимости от версии системы — уточните его для своей версии, если меню не находится.
2. Запустите полное сканирование основным антивирусом. Снова именно полное, со всеми дисками.
3. После первого прохода запустите вторым инструментом — бесплатным сканером другой компании. Совпадение результатов повышает уверенность, расхождения указывают, где искать дальше.
4. Удалите или вылечите всё найденное, перезагрузитесь в обычном режиме.

Почему нужны два инструмента: ни один антивирус не определяет все существующие угрозы. Продукты используют разные базы и разные эвристические правила, поэтому «второе мнение» после реального заражения — стандартная практика, а не паранойя.

Шаг 3. Ревизия автозагрузки и точек закрепления

Это этап, который чаще всего пропускают — и зря. Даже если сканер удалил основные файлы, остатки могут остаться в списке того, что система запускает автоматически. Тогда через несколько дней симптомы вернутся.

Что проверить:

• Автозагрузка приложений. Откройте диспетчер задач, вкладку «Автозагрузка». Ищите программы без издателя, с бессмысленными именами, случайным набором букв или расположенные во временных папках.
• Расширенные точки запуска. Утилита Autoruns показывает весь список: службы, драйверы, задачи планировщика, расширения браузера, библиотеки, подгружаемые при старте. Незапланированные записи подсвечиваются розовым, неподписанные — жёлтым. Каждую подозрительную строку проверяйте поиском в интернете, прежде чем отключать: среди них попадаются легитимные компоненты драйверов.
• Планировщик заданий. Вредоносы любят запускаться по расписанию, потому что планировщик менее заметен, чем автозагрузка. Ищите задачи с непонятными именами, созданные недавно, запускающие скрипты или файлы из временных папок.
• Ярлыки браузера. Щёлкните правой кнопкой по ярлыку, откройте свойства и посмотрите поле «Объект»: после пути к браузеру не должно быть дописанных адресов сайтов.
• Расширения браузера. Просмотрите список установленных расширений во всех используемых браузерах и удалите те, которые вы не ставили сознательно.

Правило простое: если запись в автозагрузке вам незнакома и не связана с установленной вами программой — сначала выясните, что это, потом отключайте. Отключение обратимо, удаление системного компонента — нет.

Шаг 4. Проверка последствий: пароли, почта, финансы

Техническая чистка — половина работы. Вторая половина — оценка того, что вредонос успел сделать, пока был активен. Этот шаг критичен, если на компьютере вводились пароли или платежные данные.

• Смените пароли от почты, банковских сервисов, госуслуг и других важных аккаунтов — причём с другого, заведомо чистого устройства, а не с леченого.
• Включите двухфакторную аутентификацию там, где она поддерживается.
• Проверьте историю входов в почтовый ящик и список активных сессий: посторонние устройства или входы из чужих городов — повод для срочной смены пароля и проверки правил пересылки писем (вредоносы иногда настраивают скрытую пересылку корреспонденции).
• Просмотрите выписки по банковским картам за период заражения.
• Если использовались сохранённые в браузере пароли — считайте их скомпрометированными и замените все.

Типичные ошибки при самостоятельной чистке

• Быстрое сканирование вместо полного. Оно проверяет несколько папок и создаёт иллюзию безопасности. После заражения нужна полная проверка всех дисков.
• Один инструмент и уверенность в результате. Чистый отчёт одного антивируса не гарантирует отсутствия угрозы — базы у всех разные.
• Игнорирование автозагрузки. Файлы удалены, а задача в планировщике осталась — через день всё возвращается.
• Скачивание «лечебных» утилит по ссылкам из рекламы. Под видом антивирусов распространяются поддельные программы. Загружайте инструменты только с официальных сайтов разработчиков.
• Продолжение работы с введением паролей до окончания проверки. Если на машине был кейлоггер, каждый новый пароль уходит злоумышленнику.
• Оплата «разблокировки» при шифровальщике. Оплата не гарантирует восстановление файлов и подтверждает, что жертва платит. Вопрос решается через резервные копии и обращение в правоохранительные органы.

Когда самостоятельного сканирования недостаточно

Есть ситуации, в которых разумнее остановиться и передать машину специалисту либо принять более радикальное решение:

• антивирусы находят угрозу снова и снова после удаления — значит, есть закрепление, которое не удаётся локализовать;
• файлы зашифрованы и требуют выкуп;
• подозрение на руткит: система ведёт себя странно даже после чистки, антивирус видит процессы, которых нет в диспетчере задач;
• компьютер используется для работы с финансовыми документами, клиентскими данными или врачебной тайной — здесь цена ошибки слишком высока;
• вы не можете определить, легитимна ли значительная часть записей в автозагрузке.

Во многих корпоративных и просто ответственных сценариях самым надёжным «лечением» остаётся переустановка системы с нуля с последующим восстановлением данных из резервной копии, сделанной до заражения. Это дольше, чем прогнать пару сканеров, но исключает скрытые остатки инфекции. Решение зависит от ценности данных и характера угрозы: после банального рекламного вируса переустановка избыточна, после шифровальщика или подозрения на целевую атаку — оправдана.

Профилактика повторного заражения

Чтобы следующий такой эпизод не потребовал многочасовой диагностики:

• настройте регулярное автоматическое резервное копирование важных данных на внешний носитель или в облако — это единственная надёжная защита от шифровальщиков;
• держите систему и браузеры обновлёнными: большинство массовых заражений эксплуатирует давно закрытые уязвимости;
• не отключайте антивирус «на время установки» программ из сомнительных источников;
• скачивайте ПО только с официальных сайтов; установщики с файлообменников часто содержат дополнительную «нагрузку»;
• используйте менеджер паролей вместо сохранения паролей в браузере;
• периодически запускайте полную проверку по расписанию, а не только когда что-то пошло не так.

Краткий план действий

1. Отключиться от сети, сохранить важные документы на внешний носитель.
2. Провести полную проверку с загрузочного диска или, как минимум, в безопасном режиме.
3. Повторить сканирование вторым независимым инструментом.
4. Проверить автозагрузку, планировщик, расширения браузера и ярлыки.
5. Сменить пароли с чистого устройства, проверить историю входов и банковские операции.
6. Наблюдать за системой несколько дней: возврат симптомов означает, что чистка была неполной.
7. При повторном заражении, шифровании файлов или работе с чувствительными данными — обратиться к специалисту или переустановить систему.

Главный принцип: после заражения проверяется не только наличие вредоносных файлов, но и способность системы запускать что-то без вашего ведома. Полное сканирование двумя инструментами плюс ревизия автозагрузки закрывают подавляющее большинство бытовых случаев заражения. А если результат вызывает сомнения — переустановка системы всегда дешевле, чем последствия упущенной инфекции.

Материал носит информационный характер и описывает общие принципы проверки системы. Конкретные действия зависят от типа угрозы, версии операционной системы и ценности обрабатываемых данных; в спорных случаях решение лучше принимать совместно со специалистом по информационной безопасности.