Как создать копию журналов перед очисткой заражённого компьютера

Прежде чем запускать антивирус и удалять вредоносное ПО, стоит сохранить копии журналов системы. После очистки большая часть следов заражения исчезает: антивирус удаляет файлы, система перезаписывает события, а браузеры очищают историю. Если инцидент придётся разбирать позже — например, чтобы понять, какие данные могли утечь, восстановить хронологию событий или передать материалы специалисту, — без сохранённых журналов сделать это будет практически невозможно.

Главный принцип простой: сначала фиксируем состояние системы, потом лечим её. Ниже — что именно копировать, куда сохранять, какие инструменты использовать и какие ошибки допускают чаще всего.

Зачем сохранять журналы до очистки

Журналы (логи) — это автоматические записи о событиях в системе: запуски программ, входы в учётные записи, подключения к сети, изменения настроек, срабатывания защиты. Для заражённого компьютера они выполняют роль «чёрного ящика».

Копия журналов до очистки позволяет:

• установить примерное время проникновения вредоносного ПО и проследить, что происходило после;
• понять, какие учётные записи и ресурсы затронуты — это важно, если компьютер использовался для работы или доступа к корпоративным сервисам;
• определить, были ли признаки кражи данных: массовые отправки файлов, необычные сетевые подключения, создание новых учётных записей;
• сохранить материалы для обращения в службу поддержки, к ИТ-специалисту или, при серьёзном инциденте, для официального разбирательства;
• избежать повторного заражения тем же путём — если понятно, через что вредоносное ПО попало в систему.

После лечения эти данные теряются необратимо. Антивирус удаляет заражённые файлы вместе с возможными уликами, системный журнал событий со временем перезаписывается, а очистка браузера стирает историю сессий.

Что копировать: минимальный набор

Полный «слепок» системы делать не обязательно — достаточно нескольких категорий данных. Минимальный набор для домашнего компьютера на Windows:

• Журнал событий Windows — системные, прикладные журналы и журнал безопасности (System, Application, Security);
• Журналы антивируса — история обнаружений и срабатываний установленной защиты;
• Журналы браузеров — история посещений, список расширений, сохранённые загрузки;
• Список автозагрузки и запланированных задач — там часто прописывается вредоносное ПО;
• Сведения о сетевых подключениях — активные соединения и правила брандмауэра;
• Список установленных программ — чтобы заметить незнакомое или недавно появившееся ПО;
• Снимок ключевых веток реестра — автозагрузка, политики, ассоциации файлов (по желанию, для продвинутой проверки).

Если компьютер рабочий и подключён к корпоративной сети, дополнительно имеет смысл сохранить журналы VPN-клиента, корпоративного антивируса и средств удалённого доступа — но порядок действий в этом случае лучше согласовать с ИТ-отделом, не действуя самостоятельно.

Куда сохранять копии

Ключевое правило: копии должны лежать вне заражённой системы. Если вредоносное ПО активное, оно может изменять или удалять файлы, включая логи, а в худших случаях — шифровать данные на подключённых дисках.

Подходящие места хранения:

• отдельная флешка, подключённая только на время копирования;
• внешний жёсткий диск или SSD;
• сетевое хранилище или другой компьютер в локальной сети;
• облачное хранилище — если есть уверенность, что учётная запись не скомпрометирована.

Не сохраняйте журналы на тот же системный диск и не оставляйте флешку подключённой дольше необходимого. Если есть подозрение на шифровальщик, отключите сетевые диски и облачную синхронизацию папок до начала работ, чтобы копии не были зашифрованы вместе с остальными файлами.

Пошаговый порядок действий

Работайте в том порядке, в котором перечислены шаги: сначала самое нестабильное, потом более устойчивые данные. Перед началом желательно отключить компьютер от интернета, если это не мешает работе инструментов, — это остановит передачу данных наружу и помешает вредоносному ПО обновляться.

1. Зафиксируйте текущее состояние. Сделайте несколько снимков экрана: список запущенных процессов в диспетчере задач, окно автозагрузки, активные сетевые подключения. Скриншоты — быстрый и наглядный способ задокументировать то, что может измениться через минуту.
2. Экспортируйте журнал событий Windows. Нажмите Win+R, введите eventvwr.msc. В дереве слева откройте «Журналы Windows» и по очереди для журналов «Приложение», «Безопасность» и «Система» выполните «Сохранить все события как…» в формате .evtx. Формат .evtx предпочтительнее текстового: он сохраняет структуру и открывается тем же просмотрщиком.
3. Сохраните журналы антивируса. В большинстве продуктов есть раздел истории или отчётов с экспортом в файл. Если интерфейс не позволяет экспортировать, сделайте скриншоты списка обнаружений с датами.
4. Соберите данные браузеров. Экспортируйте историю посещений (расширения для экспорта или встроенные средства), сохраните список установленных расширений и папку загрузок с датами файлов — по ним видно, что и когда скачивалось.
5. Зафиксируйте автозагрузку и задачи. Откройте диспетчер задач, вкладку «Автозагрузка», и сделайте скриншоты. Затем запустите консоль (Win+R → taskschd.msc) и просмотрите библиотеку планировщика на предмет задач с незнакомыми именами; подозрительные тоже зафиксируйте скриншотом.
6. Сохраните список процессов и подключений. В командной строке выполните tasklist /v и netstat -abno, перенаправив вывод в файлы: tasklist /v > D:\logs\tasklist.txt и аналогично для netstat. Команда netstat покажет, с какими внешними адресами связан компьютер.
7. Экспортируйте список установленных программ. В командной строке: wmic product get name,version (в новых версиях Windows может работать медленно) или сделайте скриншоты раздела «Приложения» в параметрах системы.
8. Скопируйте файлы в надёжное место из списка выше и отключите носитель.
9. Проверьте целостность копий. Откройте сохранённые файлы на другом устройстве: убедитесь, что они читаются и содержат данные, а не пустые заглушки.

Только после этого переходите к лечению: полной проверке антивирусом, при необходимости — специализированным утилитам для удаления конкретных семейств вредоносного ПО или переустановке системы.

Инструменты, которые упрощают сбор

Вручную собирать всё необязательно. Существуют утилиты, которые за один запуск формируют подробный отчёт о состоянии системы. К наиболее известным относятся Autoruns и Process Explorer от Microsoft Sysinternals, а также утилиты автоматического сбора информации о системе, которые выпускают разработчики антивирусов для диагностики. Они создают текстовый или архивный отчёт, включающий автозагрузку, службы, драйверы, сетевые настройки и другие сведения.

Практическая схема: запустите такую утилиту до начала лечения, сохраните её отчёт на внешний носитель — и у вас будет единый документ, по которому специалист сможет восстановить картину. Дополнять его экспортом журнала событий .evtx всё равно стоит: автоматические отчёты фиксируют текущее состояние, но не историю за прошедшие дни.

Типичные ошибки

• Очистка до сохранения логов. Самая частая ошибка: пользователь сначала запускает «лечение одним кликом», а о разборе инцидента вспоминает потом, когда данные уже удалены.
• Хранение копий на заражённом диске. Журналы, сохранённые в папку на системном диске, могут быть изменены или удалены вредоносным ПО.
• Сохранение только текстовых выгрузок без структуры. Файл, скопированный «как есть» из окна просмотра, теряет связи между событиями; формат .evtx или отчёт специализированной утилиты информативнее.
• Игнорирование браузеров. История и расширения часто указывают на источник заражения — вредоносное расширение или фишинговую страницу, — но их стирают в первую очередь.
• Продолжение работы в интернете во время сбора данных. Пока компьютер подключён, вредоносное ПО может передавать данные дальше и затруднять анализ.
• Использование скомпрометированной учётной записи для загрузки копий в облако. Если есть подозрение на кражу паролей, загружайте файлы с другого устройства и с другой учётной записи.

Если компьютер сильно заражён: когда копии уже не помогут

Есть ситуации, в которых сбор журналов имеет ограниченную ценность или даже рискован:

• Шифровальщик уже сработал. Если файлы зашифрованы, главное — отключить компьютер от сети и носителей данных, не пытаясь «что-то сохранить». Каждая минута работы может расширять область шифрования.
• Подозрение на целевую атаку или кражу корпоративных данных. В этом случае самостоятельные действия могут уничтожить улики. Правильный порядок — изолировать компьютер от сети (вынуть кабель, отключить Wi-Fi, но не выключать питание) и передать машину специалистам по информационной безопасности.
• Система не загружается. Тогда журналы снимают, подключив диск к другому компьютеру в режиме только для чтения, — это работа для человека с соответствующим опытом.

Во всех этих случаях разумная граница самостоятельных действий — отключение от сети и фиксация очевидного (скриншоты, список файлов), без попыток «полечить» систему вручную.

Как использовать копии после очистки

Сохранённые журналы полезны не только для расследования. Практические сценарии:

• Определение источника. Сопоставьте время появления подозрительных процессов в журнале событий с историей загрузок и посещений браузера — часто видно, какой файл или сайт предшествовал заражению.
• Оценка ущерба. Записи о входах в учётные записи, новые задачи планировщика и сетевые подключения помогают понять, что могло быть скомпрометировано: пароли, документы, доступ к почте.
• Проверка после лечения. Сравните автозагрузку и список служб до и после очистки: если подозрительные элементы вернулись, лечение было неполным.
• Смена паролей по фактам. Если журналы указывают на кражу учётных данных, приоритетно меняйте пароли именно затронутых сервисов, начиная с почты — через неё обычно восстанавливают доступ ко всему остальному.

Сценарии: что делать в зависимости от ситуации

Ситуация	Приоритет	Действия
Домашний ПК, антивирус нашёл угрозу, система работает	Сохранить логи, затем лечить	Полный сбор по шагам выше, потом проверка антивирусом и смена паролей
Подозрение на шифровальщик, файлы шифруются	Остановить распространение	Немедленно отключить сеть и внешние диски, не сохранять логи на месте, обращаться к специалистам
Рабочий компьютер в корпоративной сети	Изоляция и эскалация	Отключить от сети, сообщить в ИТ-отдел, не выполнять самостоятельную очистку
Система не загружается	Диагностика вне системы	Не переустанавливать сразу; при необходимости сохранить данные — с помощью специалиста, с диска в режиме чтения

Что важно помнить

Сохранение журналов перед очисткой — это пятнадцать-двадцать минут работы, которые могут сэкономить дни при разборе инцидента. Порядок всегда один: зафиксировать состояние, вынести копии на отдельный носитель, проверить их читаемость и только потом запускать лечение. Чем раньше после обнаружения проблемы это сделано, тем больше шансов, что журналы ещё содержат нужные события.

Если ситуация выходит за рамки домашнего компьютера с обычным заражением — затронуты рабочие данные, есть признаки шифровальщика или кражи информации, — самостоятельную очистку лучше отложить и привлечь профильного специалиста.

Материал носит информационный характер и описывает общий порядок действий. Конкретные шаги при серьёзном инциденте информационной безопасности зависят от обстоятельств; в спорных ситуациях обращайтесь к специалисту по информационной безопасности.