Що таке комп'ютерний вірус?

Комп’ютерний вірус — різновид шкідливої програми, що вбудовується в інші файли або код і поширюється під час їх виконання. Не кожне шкідливе ПЗ є вірусом: програми-вимагачі, трояни й хробаки можуть діяти інакше.

Як відбувається зараження

Вірусу потрібен механізм запуску й поширення: заражений файл, документ із небезпечним активним вмістом або інший носій коду. Сучасні атаки часто використовують фішинг, уразливості та підроблені інсталятори; їх наслідки не слід автоматично приписувати класичним вірусам. Саме відвідання сторінки без використання вразливості чи запуску шкідливого вмісту не означає зараження.

Ознаки та перевірка

Неочікувані процеси, зміни налаштувань, блокування файлів або попередження захисного ПЗ можуть бути приводом для перевірки, але кожна така ознака має й нешкідливі пояснення. Запустіть сканування встановленим захисним засобом, оновіть його бази й операційну систему. Не вводьте паролі на пристрої, який вважаєте скомпрометованим; у разі серйозного інциденту скористайтеся довіреним пристроєм і резервними копіями.

Як зменшити ризик

Установлюйте оновлення системи та програм, завантажуйте їх із перевірених джерел, тримайте захист увімкненим і зберігайте резервні копії важливих даних. Брандмауер обмежує з’єднання, але не замінює перевірку файлів та обережність із вкладеннями. Докладніше про його роль — у статті «Що таке Firewall?».

Вірус та інші види шкідливого ПЗ

Класичний файловий вірус приєднує свій код до іншого виконуваного об’єкта й поширюється, коли заражений об’єкт запускають. Макровірус використовує виконувані можливості документа, якщо користувач дозволив макроси, а середовище підтримує їх запуск. Хробак може поширюватися мережею самостійно, використовуючи доступні служби або вразливості. Троян маскується під корисну програму, але не зобов’язаний сам себе копіювати. Програму-вимагача описують за її дією — блокуванням даних чи вимогою викупу; вона може потрапити на пристрій різними шляхами. Ці категорії можуть перетинатися.

Історично віруси активно переходили між комп’ютерами через дискети й інші переносні носії. Згодом поширилися вкладення, файли з мережі та використання вразливостей. Згадка про старі носії корисна для розуміння історії, але сучасний захист має враховувати актуальні способи доставки: підроблені оновлення, шкідливі вкладення, викрадені облікові дані та вразливі застосунки. Не слід вважати кожну атаку з Інтернету саме вірусом.

Що справді може свідчити про проблему

Невідома програма в автозапуску, раптове шифрування файлів, вимкнення захисту або входи до облікових записів, яких ви не робили, потребують перевірки. Але повільна робота, шум вентилятора чи поодинокий збій можуть бути наслідком оновлення, нестачі пам’яті, проблеми накопичувача або іншої несправності. Листи нібито з вашої адреси теж не доводять зараження вашого пристрою: відправника могли підробити. Зіставляйте кілька спостережень і перевіряйте журнал захисного засобу.

Якщо захист повідомляє про загрозу, не видаляйте навмання системні файли. Запишіть назву виявлення і шлях, запустіть повторне сканування після оновлення баз, перевірте через офіційні канали постачальника, чи не було хибного спрацювання. За ознак активної компрометації від’єднайте пристрій від мережі, якщо це безпечно для вашої роботи, і зверніться до фахівця або адміністратора організації. Паролі змінюйте з довіреного пристрою; спершу захистіть пошту та інші ключові облікові записи.

Захист без хибних гарантій

Для повсякденної роботи користуйтеся звичайним обліковим записом, установлюйте програми з довірених джерел, оновлюйте систему, браузер і розширення. Не вмикайте макроси в несподіваному документі лише заради перегляду. Для важливих даних зберігайте резервні копії окремо від постійно під’єднаного пристрою й час від часу перевіряйте відновлення. Захисне ПЗ з актуальними оновленнями допомагає виявляти загрози, але не може обіцяти стовідсоткового результату проти нового або спеціально підготовленого коду.

Обережність із посиланнями також важлива. Перевіряйте повну адресу сайту перед введенням пароля й не довіряйте повідомленню лише тому, що воно схоже на лист від знайомої компанії. HTTPS захищає передавання даних до зазначеного домену, але фішинговий домен теж може отримати сертифікат. Якщо файл завантажено за неочікуваним посиланням, зупиніться й підтвердьте його походження через офіційний сайт або інший незалежний канал.

Після очищення

Навіть якщо сканер видалив знахідку, з’ясуйте, як вона потрапила на пристрій: невиправлена вразливість чи викрадений пароль дозволять атаці повторитися. Оновіть систему, перевірте розширення браузера та налаштування автозапуску, відновіть пошкоджені файли з перевіреної копії. За серйозної компрометації надійніше перевстановити систему з довіреного образу, ніж намагатися довести відсутність кожного прихованого компонента. Якщо зачеплено робочі дані, дотримуйтеся процедури реагування вашої організації.

Офіційні поради Microsoft щодо захисту від вірусів наголошують на оновленнях, увімкненому захисті й обережності з невідомими файлами. Для робочих пристроїв важливий іще один крок: повідомити відповідального фахівця про знахідку до самостійного видалення слідів, щоб можна було встановити зачеплені системи й зберегти дані для розслідування.

Результати перевірки варто записати, щоб помітити повторне зараження та з’ясувати його джерело.

Окремо перевірте, чи доступні резервні копії та чи відкриваються відновлені файли. Копія лише на постійно під’єднаному диску може постраждати від тієї самої атаки.

Фішинг і шкідливий код — різні загрози

Користувач може втратити облікові дані на підробленій сторінці без зараження пристрою. І навпаки, шкідлива програма може працювати без помітної сторінки входу. Тому під час інциденту перевіряйте і пристрій, і ключові облікові записи; схожі домени розглянуто у статті про Punycode.