Када обичан вирус уђе у ваш рачунар, добар антивирусни програм га обично детектује и уклања без већих проблема. Проблем настаје када говоримо о упорни злонамерни софтвер и руткитовиransomware или полиморфне претње Они се крију дубоко у систему, покрећу се пре Windows-а или стално мењају облик како би избегли откривање. У овом сценарију, традиционалне методе чишћења ретко су довољне.
У овим случајевима, потребно је комбиновати неколико слојева заштите. Од окружења за спасавање и дискови који се покрећу пре оперативног системаОд анализе ван мреже помоћу Microsoft Defender-а и EDR решења до специјализованих алата за ransomware и најбољих пракси за реаговање на инциденте, овај чланак покрива све што можете да урадите да бисте опоравили угрожени рачунар и како да га заштитите од будућих напада.
Шта је упорни злонамерни софтвер и зашто одбија да нестане?
Када говоримо о упорном злонамерном коду, мислимо на ону врсту злонамерног кода која Убризгава се веома рано при покретању система или је камуфлиран међу критичним процесима.Због тога традиционални антивирусни софтвер, који ради у оперативном систему Windows, има врло мало простора за маневрисање. Ту долазе до изражаја руткитови, буткитови, неки напредни тројанци, скривени рудари и велики део модерног ransomware-а.
Многи од ових примерака понашају се као прави професионалци. Они се учитавају пре самог оперативног система, манипулишу регистром и модификују сектор за покретање система. или су уграђени у наизглед легитимне сервисе и заказане задатке. То је случај чак и са инфекцијама које укључују процесе „node.js JavaScript Runtime“. уграђен у System32Могу се поново појавити неколико секунди након што буду „елиминисани“.
Ова врста злонамерног софтвера се такође често ослања на технике замагљивање, шифровање и полиморфизамУ случају полиморфног малвера, код се мало мења сваки пут када се изврши или реплицира, тако да се дигитални отисак прста (потпис) мења, али злонамерно понашање остаје непромењено. Резултат: решења заснована искључиво на статичким потписима су практично неефикасна.
Да би се супротставили овим претњама, није довољно само „покренути антивирусно скенирање и то је то“. Потребно је више. преместите битку ван зараженог оперативног системаАнализирајте диск из чистог окружења и комбинујте детекцију понашања, напредну хеуристику и, ако је могуће, „песчаник“ и EDR у реалном времену.
Битдефендер спасилачко окружење: Очистите Виндовс споља
Један од најефикаснијих приступа против упорног злонамерног софтвера је коришћење окружења за спасавање. Битдефендер Интегрише посебну функцију која се зове Спасавачко окружење, дизајниран да покрене чист мини систем пре него што се Windows учита, омогућавајући вам да анализирате и дезинфикујете рачунар без сметњи.
Идеја је једноставна, али веома моћна. Ако се злонамерни софтвер сакрије или учита пре системаПокрећете нешто што иде још даље у прошлост, и из тог окружења испитујете дискове, секторе за покретање система и датотеке без могућности да се злонамерни код брани или континуирано поново покреће систем.
Треба напоменути да је Bitdefender Rescue Environment је доступан само на Windows 10 и новијим верзијамаАко радите са старијим системима, мораћете да користите традиционалне дискове за спасавање или УСБ дискове.
Како аутоматски ући у окружење за спасавање
У свакодневној употреби, Bitdefender ће највероватније предложити поновно покретање у Rescue Environment када открије претњу која Није могуће обрисати док је Windows активан.Видећете обавештење које указује да вам је потребно посебно поновно покретање да бисте наставили са чишћењем.
У том тренутку једноставно мораш Прихватите поновно покретање у окружењу за спасавањеРачунар ће се искључити, покренути у Bitdefender окружење, аутоматски покренути дубинско скенирање, а затим уклонити све откривене инфекције. То је најдиректнији и најпогоднији начин за решавање проблема са руткитовима и другим тврдокорним злонамерним софтвером.
Како покренути спасилачко окружење из интерфејса Bitdefender-а
Ако сумњате да се нешто чудно ушуњава на ваш рачунар иако ваш антивирус то још није открио, можете ручно активирајте окружење за спасавање из самог програма. Ово је корисно ако приметите јасне симптоме (екстремна спорост, сумњиви процеси, нестајање датотека) и желите темељно да проверите рачунар.
Поступак је веома једноставан: уђете у Битдефендер, одете у одељак Заштита, отворите одељак Антивирус и, у оквиру картице СкенирањеНаћи ћете опцију „Рескју окружење“. Кликом на „Отвори“ и потврдом поновног покретања, рачунар ће се директно покренути у том режиму и почети скенирање ван Windows-а.
Током скенирања, Bitdefender ће проверити дискове, партиције и осетљиве системске области. Ако открије претње, Водиће вас порукама на екрану како да обришете, ставите у карантин или поправите датотеке, без могућности да злонамерни софтвер блокира операцију, као што би то могао са већ угроженог Windows система.
Изађите из окружења за спасавање и вратите се у Windows
Повратак на ваш нормалан систем је једноставан. Када је анализа завршена и корекције примењене, можете Затворите екран са резултатима како би се рачунар поново покренуо са оперативним системом WindowsНакнадно покретање више не би требало да буде контаминирано ако је дезинфекција завршена.
Ако у било ком тренутку ручно зауставите скенирање (на пример, зато што видите да траје предуго и желите да га наставите касније), једноставно Зауставите анализу, потврдите отказивање и користите дугме за затварање. Рачунар ће се поново покренути и поново учитати Windows. Међутим, ако и даље сумњате да је злонамерни софтвер остао, најбоље је поновити поступак или га комбиновати са другим алатима за опоравак.
Антивирусни и дискови за спасавање: ваш план Б када се систем прода
Поред специфичног окружења Bitdefender-а, постоје и тзв. спасилачки антивирус или спасилачки дискОви програми за покретање система се покрећу са CD-а, DVD-а или USB флеш диска и покрећу лагани систем пре него што се оперативни систем вашег чврстог диска покрене. Они су спас када је злонамерни софтвер учинио ваш Windows систем практично неупотребљивим.
Његова велика предност је у томе Не морају бити инсталирани или покренути унутар зараженог системаПошто се покрећу изван система, имају директан приступ диску и систему датотека, спречавајући злонамерни софтвер да се повеже са активним процесима, убризгава код или блокира чишћење. Штавише, не троше ресурсе када се не користе, тако да можете имати један спреман „за сваки случај“.
Овај приступ је савршен за случајеве када приметите аномална понашања која је тешко објаснити: случајне грешке, нестајање датотека, промене лозинки или подразумеваних апликација, стална антивирусна упозорења која се никада не решавају или чудни процеси који се извршавају у позадини без обзира колико се трудите да их уништите.
Како се креирају и користе дискови за спасавање
Већина решења за спасавање се дистрибуира у [формату] ISO или IMG „Уживо“Оне су скоро увек засноване на некој ГНУ/Линукс дистрибуцији. Преузимате слику са веб-сајта произвођача и копирате је на УСБ диск или ЦД/ДВД користећи алате као што су Руфус, УНетбоотин или сличне услужне програме за креирање медија за покретање система.
Када имате USB диск или диск спреман, додирните Конфигуришите BIOS/UEFI да се покреће са тог екстерног медија. уместо са чврстог диска вашег рачунара. Уметнете УСБ диск, поново покренете систем, изаберете одговарајући уређај и, ако све прође у реду, видећете графичко (или текстуално) окружење антивирусног програма уместо вашег уобичајеног Windows-а.
Одатле можете ажурирати базу података о вирусима, одабрати које партиције желите да скенирате, Анализирајте сектор за покретање система и очистите датотеке и фасцикле са интерних или екстерних дисковаИнтерфејс се разликује у зависности од провајдера, али сви укључују сличне функције: брзо, потпуно или прилагођено скенирање и приступ основним мрежним и системским услужним програмима.
Главна бесплатна решења за спасавање
Велика имена у безбедности генерално нуде неку врсту бесплатан диск за спасавање или УСБЕво неколико примера:
- ESET SysRescue Live. Један од најбоље одржаваних, са подршком за практично све верзије Windows-а, и клијентске и серверске.
- АВГ Ресцуе ЦД. Интерфејс је веома једноставан и текстуални, али савршено испуњава своју сврху скенирања и дезинфекције. Укључује одвојене слике за CD и USB дискове.
- Касперски Ресцуе ДискЊегов интерфејс није ажуриран годинама, али и даље користи моћни систем за детекцију Касперског. Преузмете ISO датотеку, снимите је на диск за покретање система и спремни сте.
- Нортон алатка за опоравак покретањаСадржи чаробњака који вас води кроз креирање диска или УСБ уређаја, без потребе за додатним алатима. Након покретања, видећете минимални графички интерфејс са опцијама скенирања и чишћења, без много напредних подешавања.
- Панда СафеДиск. Визуелно мало застарело, али веома једноставно. Фокусира се на ажурирање потписа и покретање потпуног скенирања ради уклањања злонамерних датотека без преоптерећења превише опцијама.
- Авира систем за спасавање. Нуди чист графички интерфејс, са мало, али довољних функција. Његова снага лежи у квалитету његовог система за претрагу и дезинфекцију и могућности ажурирања базе података потписа.
- Битдефендер спасилачки ЦД. Годинама је то било једно од најцењенијих решења за спасавање, засновано на Xubuntu-у. Иако је класични алат постепено укинут у корист интегрисаног режима спасавања, слике се и даље могу наћи у спремиштима попут Web Archive-а која настављају да преузимају актуелне дефиниције.
- Аваст спасавање. У овом случају, нема директног преузимања. Морате да креирате диск из Аваст инсталације на вашем рачунару. Добра вест је да то можете да урадите чак и са бесплатном верзијом, а затим да деинсталирате антивирус ако га не желите као примарно решење.
Добра је идеја имати барем један УСБ диск за спасавање спреман и сачуван у фиоци, јер постоје ситуације када Само спољашње окружење је способно да неутралише одређене врсте злонамерног софтвераТакође су одлични за обављање редовних провера система без зависности од инсталираног оперативног система.
Полиморфни злонамерни софтвер: када вирус стално мења своје лице
Унутар универзума упорног малвера, једна од најпроблематичнијих породица је она полиморфни малвер и злонамерни софтвер без датотекаОва врста кода је способна да мења своју структуру сваки пут када се изврши или реплицира: мења променљиве, преуређује инструкције, шифрује и дешифрује се у ходу... У сваком случају, одржава своју злонамерну функционалност нетакнутом.
Ове континуиране мутације узрокују Традиционални статички потписи губе скоро сву своју ефикасностСвака „верзија“ злонамерног софтвера има посебан потпис. Зато многе антивирусне базе података никада не прате све варијанте. Због тога се данас све више користе хеуристичка детекција и анализа понашања.
Штавише, ова врста претње често зависи од шифровање, агресивно замагљивање и генерисање псеудослучајног кода да би додатно камуфлирао своје варијанте. Све ово је појачано повећањем рачунарске снаге и коришћењем техника вештачке интелигенције од стране нападача, који аутоматизују креирање нових узорака.
Да бисте могли да извршите контранапад, нема друге опције него да у потпуности разумете како функционише: проучите његове рутине за шифровање, посматрајте у песку шта тачно ради када има слободу и Развијте одбрану усмерену на понашање, а не само на облик кода.
Циклус уклањања полиморфног злонамерног софтвера
Уклањање ове врсте штеточина захтева више од брзог скенирања. Први корак је изоловати уређај. Мора бити искључен са интернета и било које локалне мреже како би се прекинула комуникација са командним и контролним серверима и спречило бочно кретање на другу опрему.
Након тога, препоручује се покретање система у Безбедан режимИли, још боље, користите алатку за спасавање ван мреже. Када се нађу у контролисаном окружењу, врши се темељна анализа помоћу специјализованог софтвера који комбинује напредне хеуристике, детекција заснована на понашању и, ако је могуће, „песчаник“ (sandbox) да бисте видели како се сумњиве датотеке понашају.
Процес се не завршава када се скенирање заврши. Неопходан је темељан преглед. инсталирани програми, заказани задаци, услуге, проширења прегледача и промене конфигурације које је злонамерни софтвер можда оставио као механизам за очување система. Ако је систем озбиљно погођен, требало би размотрити враћање система из чисте резервне копије. А у најгорем случају, потпуну поновну инсталацију оперативног система.
Када је машина чиста, време је за мање атрактиван, али суштински део: Промените све лозинке, прегледајте активности налога и појачајте безбедносне мере (МФА, ажурирања, сегментација мреже итд.) како би се спречило да се слична варијанта поново провуче при првој прилици.
Модерни алати за суочавање са напредним злонамерним софтвером
За агилне претње попут полиморфних, традиционални антивирусни програми не успевају када раде сами. Данас је кључно подржати одбрану са... ЕДР (детекција и одговор крајње тачке)који континуирано прате крајње тачке и могу да ставе процесе или опрему у карантин чим открију необично понашање.
Такође играју важну улогу окружења за испитивање (sandbox)У овим алатима можете покренути сумњиве датотеке у изолованом окружењу и видети тачно шта додирују, које везе остварују и које промене праве у систему. То је најјаснији начин да се потврди да ли нешто наизглед безопасно заправо игра прљаво.
На нивоу мреже, IDS/IPS (системи за детекцију и спречавање упада) Они помажу у откривању злонамерног саобраћаја, аномалних веза или образаца комуникације типичних за злонамерни софтвер који комуницира са својим командним сервером. И пре свега, платформе обавештајне информације о претњама Омогућавају вам да се храните ажурираним индикаторима (домени, хешеви, ТТП-ови) како бисте увек били ажурни.
Препоручени софтвер за откривање и уклањање отпорног злонамерног софтвера
Што се тиче конкретних решења, препоручљиво је комбиновати опште алате са специјализованијим како би се покриле различите области. Неке широко коришћене и ефикасне опције су:
- малваребитесСтекао је славу због своје способности да детектује и уклања адвер, шпијунски софтвер и мноштво напредних варијанти које други производи пропуштају. Посебно је користан као додатни скенер заједно са вашим главним антивирусом.
- Битдефендер. Нуди веома робустан аналитички механизам са вишеслојном заштитом, укључујући скенирање у реалном времену, заштитни зид и контрола апликацијаЊегово спасилачко окружење је значајна предност против упорног злонамерног софтвера.
- КасперскиИстиче се по високим стопама детекције и интеграцији аналитика у облаку, заштита приватности и пословни алатиВаш диск за спасавање је одлична предност када се систем више не покреће како би требало.
- НортонПоред заштите од злонамерног софтвера, додаје Услуге праћења мрачног веба и помоћ у случајевима крађе идентитетаОво је веома корисно ако је напад укључивао цурење акредитива.
За оне којима је потребно нешто бесплатно, Аваст и АВГ Они остају пристојне опције за кућне кориснике, са модулима за анализу мреже и менаџерима лозинки. Алати попут АдвЦлеанер Они су савршен додатак чистом адверу и потенцијално нежељеним програмима који се прикаче на прегледач.
С друге стране, Мицрософт Дефендер Много је сазрео и данас је права алтернатива за већину Windows корисника, интегришући заштиту у реалном времену, модул против рансомвера, скенирање ван мреже и стална ажурирања путем Windows Update-а.
Microsoft Defender: Ваша основна борба против упорних вируса и злонамерног софтвера
У Windows екосистему, први штит је већ инсталиран: Microsoft Defender је подразумевано омогућен. И, за просечну кућну употребу, то је више него довољно ако се подеси и користи мудро.
Међу његовим функцијама налазимо Заштита у реалном времену од вируса и претњи, уграђени заштитни зид, заштита од облака да би се нове и надолазеће претње сузбиле у корену, безбедност уређаја и посебан модул за ransomware, са закључавањем фасцикли и прављењем резервних копија на OneDrive ако користите Microsoft налог.
Приступ вашој контролној табли је једноставан:
- Идите на мени Старт.
- Ви уђете Конфигурација
- Ви приступате Ажурирање и сигурност.
- Ето ти Виндовс сигурност и кликнете на „Отвори безбедност система Windows“, након чега се он отвара класични панел „Безбедност на први поглед“, исто и у оперативним системима Windows 10 и Windows 11.
Различити делови су означени са зелене, жуте или црвене иконе Према статусу: зелена значи да је све у реду; жута, да постоје препоручене акције; и црвена, да постоје проблеми које морате решити што је пре могуће ако не желите да останете на цедилу.
Скенирајте и уклоните злонамерни софтвер помоћу програма Microsoft Defender
Да бисте проверили опрему, идите на одељак Антивирус и заштита од претњиТамо можете покренути брзо скенирање које проверава најчешће области где се крију претње или отићи на „Опције скенирања“ да бисте изабрали друге врсте анализе.
Главне врсте су:
- Комплетан испит (Проверите све покренуте датотеке и програме; ово може потрајати дуго ако имате пуно података).
- Персонализовани испит (да бисте изабрали одређене дискове или фасцикле.)
- Преглед програма Microsoft Defender Offline, који поново покреће рачунар и покреће скенирање у изолованом окружењу, идеално против злонамерног софтвера који је отпоран на вирусе унутар оперативног система Windows.
Резултати анализа се бележе у Историја заштитеТамо ћете видети да ли је претња блокирана, стављена у карантин или постоји „непотпуна поправка“ која захтева да урадите нешто друго, као што је поновно покретање рачунара или понављање скенирања ван мреже.
Када Defender открије нешто сумњиво, обично вам нуди неколико акција:
- Уклони (потпуно обриши датотеку).
- Карантин (изолујте га без потпуног брисања).
- Дозволи на уређају Ако сматрате да имате посла са лажно позитивним резултатом, датотека се додаје на листу изузетака како би се спречило поновно покретање аларма – функција коју треба користити са изузетним опрезом.
Ограничења Дефендера и када размотрити алтернативе
У независним тестовима, Microsoft Defender је достигао детектује око 99% познатог злонамерног софтвераОво га ставља веома близу многим плаћеним решењима. Међутим, његова Ахилова пета лежи у веома софистицираним или упорним претњама, где неки комерцијални антивирусни програми нуде додатне модуле или власничке технологије које пружају мало више прецизности.
Ако се снађеш окружења са веома осетљивим информацијама, строга прописна усклађеност Или ако једноставно желите централизовано управљање десетинама уређаја, вероватно ћете бити заинтересовани за процену плаћених решења са EDR-ом, напредним родитељским надзором, интегрисаним VPN-ом, специфичном заштитом онлајн банкарства, безбедношћу корпоративне е-поште итд.
Добра вест је то Windows Defender постаје све бољи у раду са антивирусним софтвером трећих страна.Када инсталирате плаћени антивирус, Defender онемогућава заштиту у реалном времену како би избегао сметње, али задржава друге комплементарне функције. Истовремено покретање два активна антивирусна програма је бесмислено; то само ствара сукобе.
Припрема тла: шта урадити пре него што почнете са чишћењем тврдокорног вируса
Пре него што пожурите са брисањем датотека и заустављањем процеса, вреди направити неке основне припреме за... минимизирати штету и спречити да проблем измакне контролиНе трају дуго, а могу направити разлику.
Прва ствар је искључити се са интернета А ако је у питању пословни рачунар, искључите се из корпоративне мреже како бисте зауставили ширење злонамерног софтвера и прекинули комуникацију са свим удаљеним серверима. Затим затворите све програме и сачувајте све што вам је потребно јер ћете поново покретати рачунар више пута.
Ако систем и даље реагује донекле нормално, искористите то да направите резервне копије важних докумената на чистом екстерном уређају за складиштење (као што је USB диск који ћете касније искључити) или на добро заштићеном NAS уређају. Боље је имати скорашњу резервну копију пре могућег форматирања него касније открити да сте изгубили месеце рада.
Безбедан режим на Windows-у и macOS-у за ограничавање злонамерног софтвера
У оперативном систему Windows, безбедни режим покреће систем са минималан број контролора и услугаОво обично спречава учитавање већине злонамерног софтвера. Да бисте му приступили, поново покрените систем док држите притиснут тастер Shift и бирате Решавање проблема > Напредне опције > Подешавања покретања. Затим притисните F4 (Безбедан режим) или F5 (Безбедан режим са мрежом).
Кад уђеш, можеш Покрените потпуно скенирање антивирусом, проверите ставке за покретање система и деинсталирајте сумњиве програме. y обришите датотеке које се користе који су претходно били „заштићени“ самим злонамерним софтвером. Није толико моћан као диск за спасавање, али је добар први корак.
На Mac-у је поступак сличан: искључите рачунар, укључите га и Држите притиснут тастер Shift Да бисте ушли у безбедни режим, можете уклонити сумњиве апликације, прегледати процесе у Монитору активности и покренути скенирање помоћу антивирусног софтвера посебно дизајнираног за macOS.
Уклоните сумњиве апликације, екстензије и привремене датотеке
Велики део злонамерног софтвера стиже прикривен у наизглед корисним програмима или у екстензије прегледача Обећавају магичне функције, али на крају шпијунирају све што радите. Зато је важно да прегледате шта сте инсталирали.
У оперативном систему Windows, из контролне табле (или Подешавања > Апликације) можете деинсталирајте програме које не препознајете или који се поклапају са датумом почетка проблема
Такође је вредно проверити мени проширења прегледача (Chrome, Edge, Firefox, Safari) и обришите све што не препознајете. Многе досадне инфекције, посебно оне повезане са наметљивим оглашавањем, могу се решити чишћењем ових екстензија и ресетовањем прегледача.
На крају, обришите привремене датотеке и кеш меморије Помаже у уклањању остатака злонамерних инсталера и смањује површину напада. На Windows-у можете користити Чишћење диска. На Mac-у користите системске алате или наменске апликације за чишћење.
Имајући све наведено у виду, најбољи начин за решавање проблема упорног злонамерног софтвера је претпоставка да ћете пре или касније морати да се борите против нечег паметнијег од нормалног и да се припремите унапред: Имајте добар антивирус, држите алатку за спасавање на УСБ диску, савладајте безбедни режим, одржавајте резервне копије и не спуштајте гард на сумњиве имејлове и преузимања. То прави разлику између контролисаног застрашивања и катастрофе која вас оставља без података и опреме данима.