Что делать при подозрении на удалённый контроль компьютера

Если есть подозрение, что кто-то получил удалённый контроль компьютера, не пытайтесь сразу выяснить личность злоумышленника или удалить всё подозрительное. Сначала нужно прекратить возможный доступ, затем защитить учётные записи и только после этого разбираться с причиной.

Самый важный ориентир такой: один необычный симптом ещё не доказывает взлом. Курсор может двигаться из-за неисправной мыши, экран может показывать уведомление о работе программы удалённой помощи, а незнакомый процесс может оказаться частью обычного программного обеспечения. Подозрение становится серьёзнее, если одновременно появились неизвестная программа удалённого доступа, неожиданные изменения настроек, неизвестные входы в учётные записи или действия на экране, которые вы не выполняли.

Материал носит информационный характер. Если на компьютере хранятся важные рабочие данные, платёжная информация или другие критичные сведения, а признаки несанкционированного доступа сохраняются, безопаснее привлечь специалиста по компьютерной безопасности.

Как понять, действительно ли компьютер кто-то контролирует

Удалённый контроль означает, что другое устройство получает возможность видеть экран, управлять мышью и клавиатурой, запускать программы или выполнять другие действия в зависимости от предоставленных ему прав. Такая возможность сама по себе не является вредоносной: её используют, например, для технической поддержки и удалённой работы.

Проблема возникает тогда, когда доступ появился без вашего согласия либо предоставленный ранее доступ больше не должен существовать.

Признаки, которые действительно заслуживают проверки

• курсор или окна перемещаются сами, когда вы не используете устройство и рядом нет человека, который им управляет;
• запускаются программы или открываются файлы, которые вы не открывали;
• появилась неизвестная программа удалённого доступа, особенно если вы её не устанавливали;
• изменились настройки удалённого рабочего стола, общего доступа, учётных записей или разрешений;
• в истории входов в почту, облачное хранилище или другие сервисы появились неизвестные сеансы;
• изменились пароли, правила пересылки почты, настройки восстановления доступа или другие параметры аккаунтов;
• антивирус отключился без понятной причины или регулярно сообщает о подозрительной активности;
• компьютер неожиданно начинает активно использовать сеть или ресурсы именно в моменты, когда вы им не пользуетесь.

При этом высокая загрузка процессора, шум вентилятора, медленная работа или появление неизвестного процесса сами по себе не означают удалённый контроль. Такие признаки могут возникать из-за обновлений, фоновых задач, неисправностей, обычного программного обеспечения или вредоносной программы, которая вообще не предоставляет человеку интерактивный доступ.

Что делать в первые минуты

Если вы прямо сейчас видите, что кто-то управляет компьютером, приоритетом становится прекращение текущего сеанса. Не продолжайте переписку с человеком, который требует установить программу, назвать код подтверждения или открыть доступ к экрану.

1. Прекратите вводить пароли и другие секретные данные. Если чужой человек потенциально видит экран, введённые данные могут быть перехвачены.
2. Остановите удалённое подключение. Если вы знаете, какая программа используется для удалённого доступа, завершите её работу. Если источник доступа неизвестен, отключите компьютер от сети: выключите Wi-Fi или отсоедините сетевой кабель.
3. Не устанавливайте предложенные злоумышленником программы. Даже если вам показывают убедительное предупреждение о вирусе или называют себя сотрудником известной компании.
4. Не удаляйте всё подряд. Массовое удаление файлов и программ может уничтожить полезные сведения о произошедшем и одновременно создать новые проблемы.
5. Перейдите к проверке с другого доверенного устройства. Особенно это важно для смены паролей важных аккаунтов.

Для обычного домашнего пользователя отключение от сети — практичный способ прекратить продолжающееся удалённое взаимодействие. Но если компьютер является частью организации, на нём хранятся важные доказательства инцидента или уже работает служба информационной безопасности, не стоит самостоятельно перезагружать, очищать или переустанавливать систему до получения инструкций. При расследовании ценными могут быть журналы, память и другие временные данные.

Если удалённый доступ вы предоставили сами

Особенно распространённый сценарий — человек получает звонок или видит всплывающее сообщение о якобы найденной проблеме, после чего устанавливает программу удалённой помощи. Само использование такой программы ещё не доказывает заражение. Риск появляется, если доступ получил неизвестный человек, вы сообщили ему код подключения или разрешили управление компьютером без понимания последствий.

Не ориентируйтесь только на название программы. Легитимные средства удалённой помощи существуют у разных производителей, и злоумышленник может использовать вполне настоящее программное обеспечение. Важен не бренд приложения, а то, кто инициировал подключение, кто получил разрешение и нужен ли этот доступ сейчас.

Если доступ предоставлялся для разовой помощи, после завершения работы проверьте, не осталось ли постоянного разрешения, автоматического запуска или сохранённого способа подключения. Если вы не можете уверенно определить, какие настройки были изменены, лучше считать компьютер потенциально скомпрометированным до завершения проверки.

Как проверить компьютер после отключения от сети

После прекращения подключения задача меняется: нужно понять, что именно произошло и осталось ли в системе нежелательное программное обеспечение.

1. Проверьте установленные программы

Посмотрите список приложений и найдите программы, которые появились примерно в момент подозрительного события. Особое внимание уделяйте средствам удалённого управления, программам общего доступа к экрану и приложениям, которые вы не помните.

Не удаляйте неизвестную программу автоматически только потому, что её название вам незнакомо. Системные компоненты и драйверы тоже могут выглядеть непривычно. Если программа действительно подозрительна, сначала зафиксируйте её название и расположение, а затем используйте проверку безопасности или помощь специалиста.

2. Проверьте средства удалённого доступа

В Windows и macOS существуют штатные механизмы удалённого управления и демонстрации экрана. Кроме того, такие функции могут предоставляться сторонними приложениями.

Проверьте, какие службы удалённого доступа включены, кому разрешено подключение и какие приложения имеют права на управление экраном. На Mac отдельные разрешения могут предоставляться программам для записи экрана и управления компьютером; поэтому само появление сообщения о наблюдении за экраном ещё не доказывает присутствие злоумышленника.

Если вы не пользуетесь удалённым доступом, отключение ненужных функций уменьшает количество способов, которыми к компьютеру можно подключиться извне.

3. Запустите полную проверку безопасности

Используйте актуальное защитное программное обеспечение и выполните полное сканирование, а не только быструю проверку. Перед этим обновите базы и само средство защиты, если компьютер уже можно безопасно подключить к сети.

Если проверка обнаружила угрозу, не ограничивайтесь удалением одного найденного файла. Важно выяснить, не осталось ли связанного программного обеспечения, изменённых настроек автозапуска или других признаков компрометации.

4. Установите обновления

После первичной проверки обновите операционную систему, браузер и используемые приложения. Уязвимости в старых версиях программ могут использоваться для первоначального проникновения или закрепления вредоносного программного обеспечения.

Обновление не заменяет проверку: если посторонний уже получил доступ к системе, установка новой версии программы сама по себе не доказывает, что доступ прекращён.

Защитите учётные записи отдельно от компьютера

Удалённый контроль компьютера опасен не только возможностью двигать мышью. Если злоумышленник видел экран, он потенциально мог увидеть вводимые пароли, коды подтверждения, содержимое почты и другие данные. Поэтому очистка компьютера и защита аккаунтов — две разные задачи.

Пароли следует менять с заведомо доверенного устройства, если есть основания полагать, что заражённый компьютер мог перехватывать ввод.

В первую очередь проверьте:

• основную электронную почту;
• учётную запись операционной системы;
• облачные хранилища;
• рабочие и учебные аккаунты;
• аккаунты с доступом к платежам и покупкам;
• социальные сети и другие сервисы, где можно восстановить доступ к остальным аккаунтам.

Для важных учётных записей включите многофакторную аутентификацию, если она доступна. После смены пароля проверьте активные сеансы, подключённые устройства и способы восстановления доступа. Если сервис позволяет завершить все другие сеансы, это может быть полезнее простой смены пароля.

Отдельно проверьте электронную почту: неизвестные правила пересылки, дополнительные адреса восстановления и другие изменения настроек могут позволить злоумышленнику сохранять доступ даже после смены основного пароля.

Что делать, если на компьютере были банковские данные

Если во время предполагаемого удалённого доступа вы открывали интернет-банк, вводили реквизиты карты, подтверждали платёж или сообщали кому-либо коды, ситуацию нужно рассматривать отдельно от обычной компьютерной проверки.

Свяжитесь с банком или платёжным сервисом через официальный канал, который вы открыли самостоятельно, а не по номеру из подозрительного сообщения. Объясните, что могли быть раскрыты платёжные данные или данные для входа, и уточните, какие действия рекомендует банк.

Если деньги уже списаны, важно не откладывать обращение: порядок блокировки, оспаривания операции и дальнейших действий зависит от банка, способа платежа и конкретной ситуации.

Когда лучше не пытаться исправить всё самостоятельно

Самостоятельная проверка подходит для относительно простого случая: вы обнаружили подозрительную программу, отключили сеть, запустили проверку и не видите признаков продолжающейся активности.

Профессиональная помощь разумнее, если:

• неизвестный человек действительно получил управление компьютером;
• подозрительная программа возвращается после удаления;
• антивирус обнаруживает несколько связанных угроз;
• меняются настройки или создаются неизвестные учётные записи;
• есть признаки доступа к рабочей сети;
• на компьютере хранятся конфиденциальные документы;
• необходимо установить, какие данные могли быть скопированы;
• компьютер продолжает вести себя необычно после проверки.

В некоторых случаях наиболее надёжным способом восстановления доверия к системе становится резервное копирование необходимых пользовательских данных и чистая переустановка операционной системы. Но делать это следует обдуманно: если нужно установить обстоятельства инцидента, преждевременная переустановка может уничтожить важные следы.

Чего не стоит делать при подозрении на взлом

Паника часто приводит к действиям, которые ухудшают ситуацию. Особенно опасно следовать инструкциям человека, который сам является источником подозрительного доступа.

• Не звоните по номеру из всплывающего предупреждения. Само по себе сообщение с пугающим текстом и номером телефона не является доказательством заражения.
• Не сообщайте коды подтверждения. Код входа предназначен для подтверждения вашего действия, а не для проверки личности сотрудника поддержки.
• Не устанавливайте программы по просьбе незнакомца. Особенно если вам предлагают скачать их для «проверки вирусов».
• Не вводите пароль под удалённым наблюдением. Если есть сомнение, сначала прекратите подключение.
• Не полагайтесь на один признак. Необычный курсор, вентилятор или процесс не являются самостоятельным доказательством удалённого контроля.
• Не переустанавливайте систему сразу, если важна информация о происшествии. Сначала определите, нужно ли сохранять данные для расследования.

Как отличить удалённый контроль от обычной неисправности

Наблюдение	Что это может означать	Что проверить
Курсор двигается сам	Удалённое управление, неисправная мышь или программный сбой	Отключить мышь, прекратить сетевое подключение и проверить наличие средств удалённого доступа
Появилась неизвестная программа	Обычное приложение, компонент другой программы или нежелательное ПО	Название, издатель, дата установки, расположение файла и результаты антивирусной проверки
Компьютер стал медленным	Фоновая задача, обновление, нехватка ресурсов или вредоносное ПО	Загрузка процессора, памяти и диска, запущенные процессы и состояние системы
Появилось уведомление о просмотре экрана	Демонстрация экрана, запись, удалённая помощь или другое разрешённое приложение	Какое приложение получило разрешение и действительно ли вы его запускали
Есть неизвестный вход в аккаунт	Компрометация учётной записи или вход с другого вашего устройства	Время, устройство, местоположение, активные сеансы и настройки безопасности

Такая проверка важна потому, что одинаковый симптом может иметь совершенно разные причины. Например, сообщение о наблюдении за экраном на Mac может появляться при обычной записи или демонстрации экрана. Поэтому искать нужно не один «признак взлома», а согласованную цепочку событий.

Если подозрение оказалось ложным

Иногда после проверки выясняется, что удалённого контроля не было. Это хороший результат, но стоит понять, почему возникло подозрение.

Если причиной оказалось ненужное приложение удалённого доступа, его можно удалить или ограничить разрешения. Если проблема возникла из-за браузерного всплывающего окна, не следует возвращаться на подозрительную страницу или выполнять её инструкции. Если причиной стал легитимный инструмент поддержки, проверьте, кто имеет к нему доступ и включён ли он постоянно.

Полезно также привести в порядок базовую защиту: обновить систему и программы, удалить неиспользуемые приложения, включить многофакторную аутентификацию для важных аккаунтов и убедиться, что резервные копии действительно существуют и доступны.

Сценарии: что делать в зависимости от ситуации

Вы увидели подозрительное окно, но никому не давали доступ

Не звоните по указанному номеру и ничего не устанавливайте. Закройте страницу или браузер, затем выполните проверку системы. Если программа удалённого доступа не устанавливалась и никакие разрешения не предоставлялись, само появление пугающего сообщения ещё не означает, что компьютер контролирует посторонний человек.

Вы установили программу по просьбе неизвестного человека

Прекратите общение, отключите компьютер от сети и зафиксируйте название установленной программы. После этого проверьте систему средствами защиты. Пароли важных аккаунтов меняйте с другого доверенного устройства, особенно если во время сеанса удалённой помощи вы вводили их.

Человек действительно управлял экраном

Считайте ситуацию потенциальным инцидентом безопасности. Сначала прекратите подключение, затем защитите учётные записи и проверьте систему. Если на компьютере есть конфиденциальные данные или требуется установить масштаб доступа, не ограничивайтесь обычным удалением программы.

После удаления программы доступ снова появляется

Это уже не тот случай, где стоит бесконечно удалять отдельные файлы. Повторное появление доступа может указывать на сохранившийся компонент, изменённую настройку или другую угрозу. Нужна более глубокая диагностика, а для критичного компьютера может потребоваться чистая переустановка.

Короткий порядок действий для проверки

1. Если удалённое управление происходит прямо сейчас, прекратите сетевое подключение.
2. Не вводите пароли и коды подтверждения на потенциально контролируемом компьютере.
3. Зафиксируйте подозрительные программы, сообщения и время события, если это безопасно.
4. Проверьте установленные приложения и настройки удалённого доступа.
5. Обновите средство защиты и выполните полное сканирование.
6. С доверенного устройства смените пароли важных аккаунтов.
7. Проверьте активные сеансы, подключённые устройства и настройки восстановления доступа.
8. При наличии платёжных рисков отдельно свяжитесь с банком или платёжным сервисом.
9. Если признаки компрометации сохраняются, обратитесь к специалисту и рассмотрите восстановление системы.

Как снизить риск повторного удалённого доступа

Полностью исключить риск невозможно, но количество типичных точек входа можно существенно сократить. Главный принцип — не предоставлять удалённое управление только потому, что сообщение выглядит срочным или убедительным.

Особенно полезны следующие меры:

• устанавливать программы из доверенных источников и удалять ненужные приложения;
• своевременно обновлять операционную систему, браузер и другие программы;
• использовать актуальное защитное ПО;
• включать многофакторную аутентификацию для важных аккаунтов;
• не сообщать посторонним пароли, коды подтверждения и коды удалённого подключения;
• проверять, какие программы имеют разрешение на удалённое управление и запись экрана;
• делать резервные копии важных файлов отдельно от основного компьютера.

Полезно заранее знать, какие программы удалённого доступа вы действительно используете. Тогда незнакомое приложение будет заметнее, а легитимное подключение можно будет быстрее отличить от подозрительного.

Что делать дальше

При подозрении на удалённый контроль не нужно пытаться угадать, «взломан» компьютер или нет, по одному странному поведению. Сначала остановите возможный доступ, затем проверьте систему и отдельно защитите аккаунты.

Если доступ был явно предоставлен неизвестному человеку, относитесь к ситуации серьёзнее, чем к обычному сбою. Проверьте не только наличие вредоносного ПО, но и изменения в учётных записях, разрешениях и настройках удалённого управления.

Если после проверки остаются сомнения, а компьютер содержит важные данные, лучше не экспериментировать с десятками случайных «антивирусных» утилит и инструкций из интернета. Безопаснее получить квалифицированную диагностику и выбрать способ восстановления системы с учётом того, нужно ли сохранить данные для дальнейшего расследования.