Что такое компьютерный вирус?

Компьютерный вирус — разновидность вредоносной программы, которая внедряется в другие файлы или код и распространяется при их выполнении. Не всякое вредоносное ПО является вирусом: программы-вымогатели, трояны и черви могут работать иначе.

Как происходит заражение

Вирусу нужен механизм запуска и распространения: заражённый файл, документ с опасным активным содержимым или иной носитель кода. Современные атаки часто используют фишинг, уязвимости и поддельные установщики; их последствия не стоит автоматически приписывать классическим вирусам. Само посещение страницы без эксплуатации уязвимости или запуска вредоносного содержимого не означает заражение.

Типичные признаки и проверка

Неожиданные процессы, изменения настроек, блокировка файлов или предупреждения защитного ПО могут быть поводом для проверки, но каждый такой признак имеет и безвредные объяснения. Запустите проверку установленным защитным средством, обновите его базы и операционную систему. Не вводите пароли на устройстве, которое считаете скомпрометированным; при серьёзном инциденте используйте доверенное устройство и резервные копии.

Как снизить риск

Устанавливайте обновления системы и приложений, загружайте программы из проверенных источников, держите защиту включённой и храните резервные копии важных данных. Межсетевой экран ограничивает соединения, но не заменяет проверку файлов и осторожность с вложениями. Подробнее о его роли — в статье «Что такое Firewall?».

Вирус и другие виды вредоносного ПО

Классический файловый вирус присоединяет свой код к другому исполняемому объекту и распространяется, когда заражённый объект запускают. Макровирус использует исполняемые возможности документа, если пользователь разрешил макросы и среда допускает их выполнение. Червь может распространяться по сети самостоятельно, используя доступные службы или уязвимости. Троян маскируется под полезную программу, но не обязан сам себя копировать. Программа-вымогатель описывается по её действию — блокировке данных или требованию выкупа; она может попасть на устройство разными путями. Эти категории могут пересекаться.

Исторически вирусы активно переходили между компьютерами через дискеты и другие переносные носители. Затем широкое распространение получили вложения, файлы из сети и эксплуатация уязвимостей. Упоминание старых носителей полезно для понимания истории, но современные меры защиты должны учитывать актуальные способы доставки: поддельные обновления, вредоносные вложения, украденные учётные данные и уязвимые приложения. Не стоит считать, что всякая атака из Интернета — именно вирус.

Что действительно может указывать на проблему

Неизвестная программа в автозапуске, внезапное шифрование файлов, отключение защиты или входы в учётные записи, которых вы не совершали, требуют проверки. Но медленная работа, шум вентилятора или редкий сбой могут быть связаны с обновлением, нехваткой памяти, проблемой накопителя или другой неисправностью. Письма якобы от вашего адреса тоже не доказывают заражение вашего устройства: отправитель может быть подделан. Сопоставляйте несколько наблюдений и проверяйте журнал защитного средства.

Если защита сообщает об угрозе, не удаляйте наугад системные файлы. Зафиксируйте название обнаружения и путь, запустите повторное сканирование после обновления баз, проверьте, не было ли ложного срабатывания по официальным каналам поставщика. При признаках активной компрометации отключите устройство от сети, если это безопасно для вашей работы, и обратитесь к специалисту или администратору организации. Пароли меняйте с доверенного устройства; сначала защитите почту и другие ключевые учётные записи.

Защита без ложных гарантий

Ограничьте повседневную работу обычной учётной записью, устанавливайте программы из доверенных источников, обновляйте систему, браузер и расширения. Не включайте макросы в неожиданном документе только ради просмотра. Для важных данных храните резервные копии отдельно от постоянно подключённого устройства и периодически проверяйте восстановление. Защитное ПО с актуальными обновлениями помогает обнаруживать угрозы, но не может обещать стопроцентного результата против нового или специально подготовленного кода.

Осторожность с ссылками также важна. Проверяйте полный адрес сайта перед вводом пароля и не доверяйте сообщению лишь потому, что оно выглядит как письмо знакомой компании. HTTPS защищает передачу данных к указанному домену, но фишинговый домен тоже может получить сертификат. Если файл скачан по неожиданной ссылке, остановитесь и подтвердите его происхождение через официальный сайт или иной независимый канал.

После очистки

Даже если сканер удалил находку, выясните, как она попала на устройство: незакрытая уязвимость или украденный пароль позволят атаке повториться. Обновите систему, проверьте расширения браузера и настройки автозапуска, восстановите повреждённые файлы из проверенной копии. Для серьёзной компрометации надёжнее переустановить систему из доверенного образа, чем пытаться доказать отсутствие каждого скрытого компонента. Если затронуты рабочие данные, следуйте процедуре реагирования вашей организации.

Официальные рекомендации Microsoft по защите от вирусов подчёркивают обновления, встроенную защиту и осторожность с неизвестными файлами. Для корпоративных устройств важен ещё один шаг: сообщить о находке ответственному специалисту до самостоятельного удаления следов, чтобы можно было установить затронутые системы и сохранить данные для расследования.

Отдельно проверьте, доступны ли резервные копии и можно ли открыть восстановленные файлы. Копия, которая существует только на постоянно подключённом диске, может пострадать от той же атаки.

Фишинг и вредоносный код — разные угрозы

Пользователь может потерять учётные данные на поддельной странице без заражения устройства. И наоборот, вредоносная программа может работать без заметной страницы входа. Поэтому при инциденте проверяйте и устройство, и ключевые аккаунты; похожие домены разбираются в статье о Punycode.