Как проверить компьютер на вредоносные программы без антивируса
Отказ от отдельного антивируса не означает отказ от проверки: в Windows есть диспетчер задач, журнал событий и средства контроля целостности файлов. Такой анализ помогает заметить незнакомые автозапуски, процессы, расширения браузера и подозрительные сетевые соединения. Особенно полезен этот способ, если установленная защита повреждена, отключена или сама вызывает странные сбои.
Перед проверкой сохраните важные документы и создайте резервную копию на отдельном носителе. Запишите, какие программы обычно запущены, и не открывайте незнакомые файлы двойным щелчком: неизвестный исполняемый файл может сразу запустить вредоносный код. Для диагностики понадобятся права администратора, командная строка или PowerShell.
Что показывает ручная проверка
Ручная диагностика использует поведенческий анализ и показывает признаки заражения, но не даёт гарантии полной чистоты. Она хорошо выявляет очевидные случаи: рекламные программы, подозрительные автозапуски, вредоносные расширения, подмену поисковой системы и неправомерные изменения настроек. Сложные программы с маскировкой, руткитами и скрытыми драйверами могут не оставить заметных следов, поэтому окончательный вывод требует дополнительных средств.
Насторожить должны незнакомые файлы в папках загрузок и временных каталогах, резкий рост сетевого трафика, появление новых служб, недавнее изменение системного времени, самопроизвольное открытие рекламных окон и запросы на смену браузера. Обновление Windows, облачное хранилище или корпоративная виртуальная частная сеть тоже создают сетевую активность, поэтому каждый признак проверяют отдельно.
Начните с фиксации состояния системы: сохраните список процессов, запущенных служб и активных сетевых подключений. Такая точка отсчёта поможет сравнить картину до и после проверки, а не гадать, что происходило раньше. Фотографии экрана диспетчера задач и выгрузка журналов Windows также пригодятся при обращении к специалисту.
Автозапуски, процессы и задачи
Откройте диспетчер задач через сочетание клавиш Ctrl+Shift+Esc и перейдите на вкладку «Подробные процессы». Обратите внимание на столбцы «Имя образа», «Пользователь» и «Путь к исполняемому файлу». У известных программ путь обычно ведёт в системный каталог или каталог пользователя; файл из случайной папки с названием из букв и цифр требует изучения.
В свойствах процесса проверьте цифровую подпись и издателя. Один лишь значок издателя не гарантирует безопасность, а неизвестная подпись не приговор: пиратские и перепакованные программы часто вызывают предупреждение. Затем сверьте имя и путь с сайтом разработчика. Для системных компонентов вроде svchost.exe множество экземпляров является нормой, если они запущены из правильного каталога и связаны с ожидаемыми службами.
Отдельно просмотрите «Автозапускаемые приложения» в диспетчере задач, папку «Автозагрузка» и планировщик заданий. Ищите записи с невнятными названиями вроде «Update», «Service» или «Host», если вы их не устанавливали. Не удаляйте строку только по подозрительному виду: сначала откройте свойства, посмотрите путь, описание и дату создания. Случайная служба может оказаться компонентом драйвера или утилиты восстановления.
Встроенные средства Windows
В командной строке с правами администратора выполните sfc /scannow. Средство проверяет целостность системных файлов и способно восстановить повреждённые копии из хранилища компонентов. Это не антивирусный сканер, поэтому удаление троянов не гарантируется, зато исправление подменённых файлов повышает доверие к системе. Если проверка обнаружила повреждения, восстановите хранилище компонентов командой DISM /Online /Cleanup-Image /RestoreHealth.
PowerShell помогает проверить цифровую подпись отдельного файла. Команда Get-AuthenticodeSignature "C:\путь\к_файлу.exe" | Format-List Status,SignerCertificate показывает состояние подписи и данные издателя. Положительный результат означает соответствие подписи известному сертификату, но не безупречность самого приложения. Статус NotSigned у сторонней утилиты требует дополнительного изучения источника и цифровых отпечатков на официальном сайте.
Журнал событий Windows хранит записи о запуске программ, изменении служб и некоторых системных действиях. Его можно открыть через «Просмотр событий» или командой eventvwr.msc. Ищите необычные ошибки, попытки изменить параметры безопасности и события, предшествующие появлению симптомов. Для изучения сомнительного образца безопаснее использовать изолированную песочницу Windows, если она доступна в вашей редакции; запускать его на основной системе рядом с рабочими документами не стоит.
Браузер, расширения и загрузки
Браузер часто показывает заражение быстрее других программ: появляются рекламные вставки, подменённая поисковая система, новые страницы при открытии ссылок и надоедливые уведомления. Проверьте настройки браузера, список расширений и разрешения сайтов. Удалите дополнения, которых вы не устанавливали, особенно с доступом к чтению страниц, буферу обмена и загрузке файлов.
Откройте историю загрузок через chrome://downloads или edge://downloads и просмотрите папку «Загрузки». Особое внимание уделите файлам .exe, .msi, .bat, .cmd, .ps1, .scr и .lnk, а также документам с макросами. Их источник должен быть известен, имя — совпадать с ожидаемым, а цифровой отпечаток — с данными на сайте разработчика. Отпечаток вычисляется командой Get-FileHash. Не открывайте файл только потому, что его иконка выглядит знакомо.
Отключите всплывающие уведомления для сайтов, которые вы не открывали, восстановите домашнюю страницу и проверьте профили. Если в списке синхронизируемых устройств появились чужие, смените пароль на чистом компьютере и завершите активные сессии. Простая очистка кэша убирает следы в браузере, однако вредоносное расширение, изменившее настройки, может остаться и проявиться снова.
Сетевые подключения и учётные записи
Выполните в командной строке netstat -ano и сохраните результат в текстовый файл: netstat -ano > C:\netstat.txt. Для каждого подключения найдите номер процесса в диспетчере задач и установите, какая программа устанавливает соединение. Системные службы Windows закономерно обращаются к сети. Неизвестный процесс с постоянным исходящим трафиком требует проверки; конкретный порт или адрес сам по себе не доказывает заражение.
Просмотрите локальные учётные записи командой net user, а состав групп — командой net localgroup; найдите группу администраторов и проверьте её участников. Проверьте параметры удалённого доступа и список последних входов: новый администратор, неожиданный вход или включённый удалённый рабочий стол могут указывать на компрометацию. Удалите лишние учётные записи, смените пароли с другого устройства и включите многофакторную проверку для важных учётных записей.
Отдельно посмотрите системный прокси командой netsh winhttp show proxy и откройте файл C:\Windows\System32\drivers\etc\hosts. Неизвестные адреса серверов, которые перенаправляют популярные сайты на другие домены, выглядят подозрительно. Не удаляйте строки целиком: сначала сопоставьте их с созданными вами блокировками рекламы.
Съёмные носители и внешние устройства
Съёмные флешки и внешние диски стоит проверять до открытия файлов. Посмотрите корневую папку на наличие файла autorun.inf, неизвестных ярлыков, скриптов и исполняемых файлов. Не запускайте .lnk и .exe с них, пока не убедитесь в источнике. Полезно сверить содержимое с ранее известным, а также проверить время изменения файлов.
Для ноутбуков, которые используют в выездной работе, как у спортивного фотографа, домашняя сеть перестаёт быть единственной защитой. Публичные беспроводные сети, розетки с USB и подключение к чужому накопителю создают новые риски. Для работы используйте доверенную точку доступа или мобильный интернет, а неизвестные накопители не подключайте к основному компьютеру.
Изменение паролей и обновление программ лучше выполнять с заведомо чистого устройства. Виртуальная частная сеть защищает канал передачи, но не устраняет уже установленный троян и не делает подозрительный сайт безопасным. Если накопитель получен по аренде или от незнакомого человека, работайте с ним в изолированной среде и не переносите файлы на рабочий компьютер.
Что делать при обнаружении угроз
При явных признаках взлома отключите компьютер от сети, отсоедините внешние накопители и не вводите на нём пароли. Не удаляйте файлы наугад: случайная очистка способна уничтожить улики и помешать восстановлению. Сфотографируйте подозрительные элементы и сохраните списки процессов и служб. С паролями и изменением учётных данных работайте только с чистого устройства.
Удаляйте обнаруженные посторонние программы, расширения и запланированные задачи, затем восстановите изменённые настройки и повторно запустите sfc /scannow. Если поведение системы выходит за рамки обычного, надёжнее переустановить Windows с чистого носителя, сохранив только документы и фотографии. Исполняемые файлы, архивы и ярлыки из старой системы не стоит переносить. После восстановления убедитесь, что встроенная защита Windows не отключена.
Проверьте компьютер по этому порядку прямо сейчас: сохраните список процессов, автозапусков и сетевых подключений. Начните с автозапусков и запущенных программ, затем проверьте расширения, загрузки и параметры учётных записей. Зафиксируйте результаты в журнале: повторная проверка по такому списку занимает несколько минут и помогает заметить изменения быстрее, чем искать причину заново.
