Сразу важный момент про рабочий компьютер

Если компьютер выдан компанией, заражённая машина — это угроза не только вам, но и общей сети (через неё могут зайти дальше, украсть учётки, зашифровать общие папки). Поэтому корректно один раз написать в поддержку: «заметил подозрительное поведение, проверяю сам». Это не «стучать», а обычный регламент — обычно за это не ругают, а наоборот. Ниже всё равно даю полную инструкцию, как разобраться руками без установки сторонних программ.

Важно: всё перечисленное ниже — это встроенные средства Windows (Диспетчер задач, Реестр, PowerShell, Защитник). Ничего устанавливать не нужно, значит и претензий от ИТ не будет.

План действий

1. Проверить встроенными средствами (Защитник + mrt).
2. Найти вредоносное ПО вручную: процессы → автозагрузка → службы → планировщик → реестр.
3. Удалить его в безопасном режиме.
4. Почистить последствия (файл hosts, прокси, пароли).

Шаг 1. Сначала — встроенные сканеры (это не «установка»)

Вариант А. Полная проверка Защитника Windows

1. Win + I → Конфиденциальность и защита → Безопасность Windows → Защита от вирусов и угроз.
2. Параметры проверки → выберите Полная проверка → Проверить сейчас.

Вариант Б. Автономная проверка (самое мощное встроенное средство) Там же, в Параметрах проверки, выберите Проверка в автономном режиме → Проверить сейчас. Компьютер перезагрузится, проверка пройдёт до загрузки Windows — так вычищается то, что прячется в работающей системе. На это уходит 15–40 минут.

Вариант В. Средство удаления вредоносных программ Microsoft

1. Win + R → введите mrt → Enter.
2. Далее → Полная проверка → ждёте.

Вариант Г. Через PowerShell (запустите PowerShell от имени администратора):

Update-MpSignature
Start-MpScan -ScanType FullScan
Get-MpThreat
Remove-MpThreat

Если после этого угрозы найдены и удалены — вы почти победили. Если нет или они «возвращаются» — идём искать руками.

Шаг 2. Ищем заразу вручную

2.1. Диспетчер задач

Ctrl + Shift + Esc. Если видите «меньше подробностей” — нажмите Подробнее.

На вкладке Процессы смотрите на подозрительное:

• незнакомые названия с опечатками вроде Svch0st, Updаte, System32 Helper;
• процесс с высокой загрузкой ЦП/диска/сети без причины;
• один и тот же файл, запущенный несколько раз.

Проверка: правой кнопкой по процессу → Открыть расположение файла. Настоящие системные процессы лежат в C:\Windows\System32. Если файл оказался в C:\Users\...\AppData, C:\ProgramData, Temp, папке «Загрузки» — это очень подозрительно.

Ещё проверка подписи: правой кнопкой по файлу → Свойства → вкладка Цифровые подписи. У настоящих системных файлов Microsoft там стоит подпись. Вкладки нет или подпись «недействительна» — плохой знак.

На вкладке Подробности удобнее: колонка Имя, ПИД, Путь (правой кнопкой → Выбрать столбцы, если пути нет).

2.2. Автозагрузка

Диспетчер задач → вкладка Автозагрузка. Подозрительные строки с путём в AppData, Temp, ProgramData, с названием из случайных букв или вроде «WindowsUpdateHelper» — отключайте (правой кнопкой → Отключить).

2.3. Службы

Win + R → services.msc → Enter. Нажмите Службы вверху и сортируйте по типу запуска. Ищите странные службы, где:

• Изображение ведёт не в System32;
• описание пустое или на ломаном языке;
• имя напоминает системное, но с ошибкой.

2.4. Планировщик заданий (очень частое место прописки)

Win + R → taskschd.msc → слева Библиотека планировщика заданий. Смотрите задания, у которых в Действиях запускается файл из AppData/Temp. Многие вирусы перезапускаются именно отсюда — удалите такое задание (правой кнопкой → Удалить).

2.5. Реестр — ключи автозапуска

Win + R → regedit → Enter. Проверьте по очереди:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run

Смотрите значения справа: если там путь к файлу в AppData, Temp, ProgramData или к svchost.exe не из System32 — это вредоноc.

Перед правкой: Файл → Экспорт — сохраните копию реестра, чтобы откатиться.

Быстрый просмотр через PowerShell:

Get-ItemProperty HKCU:\Software\Microsoft\Windows\CurrentVersion\Run
Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Run
Get-CimInstance Win32_StartupCommand | Format-Table Name, Command, Location

2.6. Сеть — куда он ходит

Win + R → resmon → вкладка Сеть → блок Сетевые подключения. Если непонятный процесс держит соединения с чужими адресами — это он.

Или в командной строке:

netstat -ano | findstr ESTABLISHED
tasklist | findstr "PID_процесса"

Как понять, что файл — вирус (шпаргалка)

• лежит в AppData, ProgramData, Temp, Downloads, корне диска C:\;
• у него нет цифровой подписи или она недействительна;
• имя копирует системное, но с опечаткой;
• он сам себя восстанавливает после удаления — значит, есть «корень» (задание в планировщике или запись в реестре), удалять нужно сначала его;
• антивирус или диспетчер задач его не показывают, но он есть — признак руткита, тут самому лучше не лезть.

Шаг 3. Удаление

Удалять в обычном режиме часто не даётся: файл занят работающим процессом. Поэтому:

1. Win + R → msconfig → вкладка Загрузка → отметьте Безопасный режим → Сеть (можно и без сети) → Применить → перезагрузка.
2. В безопасном режиме вирус обычно не запускается:
   • сначала удалите задание в планировщике и запись в реестре/автозагрузке (иначе он вернётся);
   • затем удалите сам файл (Shift + Delete);
   • удалите подозрительные службы: sc.exe delete ИмяСлужбы в командной строке от администратора.
3. Вернитесь в msconfig, снимите «Безопасный режим», перезагрузитесь.

Шаг 4. После удаления

Проверьте и почистите:

• Файл hosts: откройте C:\Windows\System32\drivers\etc\hosts через Блокнот от администратора. Там не должно быть строк с чужими сайтами (кроме комментариев с #).
• Прокси: Win + R → inetcpl.cpl → вкладка Подключение → Настройка сети — галочка «Использовать прокси-сервер» должна быть снята (если вы её не включали сами).
• Браузер: удалите незнакомые расширения, смените стартовую страницу.
• Системные файлы:

sfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth

• Пароли: смените пароли от почты, банка и рабочих систем. Если вирус мог их украсть, это важнее самого удаления.
• Ещё раз прогоните полную проверку Защитника.

Когда самому уже не справиться

• процесс не удаляется даже в безопасном режиме;
• файлы «возвращаются» после чистки;
• Защитник не запускается или отключается сам;
• появились шифровальщики (требуют выкуп) или замедлилась вся сеть.

Это признаки руткита или серьёзного заражения — тут уже точно стоит подключить ИТ: они имеют полное право переустановить систему или отдать машину на чистку. Попытка «дочинить» такое самому обычно только ухудшает ситуацию и создаёт вам проблемы вместо сэкономленного времени.

Да, вручную можно убрать большинство обычных заражений: рекламные модули, майнеры, простые трояны и загрузчики. Для этого хватит встроенных средств Windows. Если же речь идёт о шифровальщике, рутките или краже паролей, вручную удаляется только видимая часть, а скрытая может остаться. Признаки такого заражения перечислены в конце.

Сначала о рабочем компьютере

Если подозреваете заражение на корпоративной машине, лучше сообщить айтишникам, даже если вы уже всё почистили. Вирус мог попасть в общие папки или сетевые диски, а следы, которые вы удалите, могут понадобиться для анализа. Скрытое заражение обычно создаёт больше проблем, чем сообщение о нём. Шаги 1 и 2 ничего не устанавливают, их можно выполнить сразу.

Шаг 1. Встроенная проверка Защитника

Защитник уже есть в Windows, его ставить не нужно. Автономная проверка запускается до загрузки Windows, поэтому вирус не успевает ей помешать.

1. Нажмите Пуск, введите Безопасность Windows и откройте её.
2. Перейдите в Защита от вирусов и угроз → Параметры сканирования.
3. Выберите Автономная проверка Microsoft Defender и нажмите Проверить сейчас.
4. Компьютер перезагрузится. Проверка занимает 10–20 минут.

Если вирус отключил Защитник, включите защиту в реальном времени в том же разделе. Это не переустановка.

Шаг 2. Подозрительные процессы

Откройте Диспетчер задач (Ctrl+Shift+Esc), нажмите Подробнее и отсортируйте процессы по колонкам «ЦП» и «Память».

Настораживать должны:

• высокая загрузка процессора при простое (часто это майнер);
• имена, похожие на системные, но с опечаткой: svch0st, scvhost, lsasss;
• процессы, запущенные из папок AppData, Temp, Загрузки или из случайно названных папок в ProgramData.

Чтобы увидеть полные пути, запустите Windows PowerShell от имени администратора (Win+X → Терминал (администратор)) и выполните:

Get-Process | Select-Object Name, Id, Company, Path | Sort-Object Name | Format-Table -AutoSize

Для сравнения: у системных процессов путь обычно такой.

Если svchost.exe или explorer.exe запущен из другой папки, это почти наверняка вирус. У системных процессов колонка Company обычно показывает «Microsoft Corporation», а у вредоносных она часто пустая.

Прежде чем завершить подозрительный процесс, в Диспетчере задач выберите Открыть расположение файла и запомните путь. Затем нажмите правой кнопкой по процессу и выберите Завершить дерево процессов. Пункт «дерево» нужен, чтобы дочерние процессы не перезапустили вирус.

Шаг 3. Автозагрузка и планировщик

В Диспетчере задач откройте вкладку Автозагрузка. Проверьте колонку «Издатель». Если издатель пустой или название непонятное, отключите запись правой кнопкой (Отключить). Отключать можно безопасно: запись удаляется из автозапуска, сам файл при этом остаётся, и её легко вернуть.

Полный список автозапусков можно вывести командой в PowerShell:

Get-CimInstance Win32_StartupCommand | Select-Object Name, Command, Location | Format-List

Вирусы часто создают задания в планировщике, которые запускают их снова после перезагрузки. Нажмите Win+R, введите taskschd.msc и откройте Библиотека планировщика заданий. Задания от Google, Яндекса или Adobe обычно безобидны. Настораживать должны задания с непонятным названием, особенно если путь к файлу ведёт в AppData или Temp. Также можно вывести их командой:

Get-ScheduledTask | Where-Object { $_.TaskPath -notlike '\Microsoft\*' } | Select-Object TaskName, TaskPath, State

Шаг 4. Другие места, где прячутся вирусы

• Службы. Нажмите Win+R, введите services.msc. Ищите запущенные службы с непонятным названием и описанием.
• Прокси. Откройте Параметры → Сеть и Интернет → Прокси. Если прокси включён, а вы его не настраивали, это признак заражения: через него часто подменяют рекламу и страницы.
• Файл hosts. Откройте C:\Windows\System32\drivers\etc\hosts в Блокноте от администратора. Нормальны только строки, начинающиеся с #, и строка 127.0.0.1 localhost. Лишние строки с адресами сайтов означают подмену адресов.
• Браузер. Удалите незнакомые расширения и проверьте стартовую страницу и поисковик.
• Установленные программы. В Параметры → Приложения → Установленные приложения отсортируйте по дате установки и проверьте, всё ли вы ставили сами.

Шаг 5. Удаление файлов и безопасный режим

Если файл не удаляется, потому что занят процессом, перезагрузите компьютер в безопасный режим. Нажмите Win+R, введите msconfig, перейдите на вкладку Загрузка, выберите Безопасный режим → Минимальная, нажмите ОК и перезагрузитесь.

В безопасном режиме удалите файл по запомненному пути и проверьте автозагрузку и планировщик. После этого вернитесь в msconfig и снимите галочку с безопасного режима, иначе Windows будет каждый раз загружаться в него. Затем повторите шаг 1.

Что не трогать

• Системные файлы в C:\Windows\System32, даже если кажутся подозрительными. Удаление нужного файла может сломать Windows.
• Программы-«чистильщики» и «удалятели вирусов» с сайтов. Часто они сами оказываются вредоносными.
• Записи реестра, которые вы не можете однозначно связать с вирусом.

Когда остановиться и вызвать айтишников

• На экране требование выкупа или зашифрованы файлы. Немедленно отключите компьютер от сети (кабель и Wi-Fi) и сообщите в поддержку.
• Вирус возвращается после перезагрузки или не удаляется после двух-трёх попыток.
• Вы вводили пароли на подозрительном сайте или с зараженного компьютера. Тогда смените пароли с другого устройства, в первую очередь от почты и корпоративных учётных записей.
• Есть подозрение, что вирус мог распространиться по сети.

Если это рабочий компьютер с Windows 10/11, вручную удалять подозрительные файлы через Диспетчер задач не стоит. Там можно увидеть процесс, но удаление файла не убирает его запуск из служб, заданий или других механизмов. Кроме того, за подозрительный вирус можно принять нужную корпоративную программу.

Безопасный порядок действий

1. Сообщите IT, что заметили подозрительное поведение или хотите проверить компьютер. Передайте им предупреждения антивируса, названия файлов и время появления проблемы. На рабочем ПК это обычная ситуация, а не повод самостоятельно менять настройки защиты.

2. Если Microsoft Defender работает и компания разрешает запускать проверку:

   • Откройте Пуск → Безопасность Windows.
   • Выберите Защита от вирусов и угроз → Параметры сканирования → Полная проверка → Выполнить сканирование.
   • Если Defender обнаружит угрозу, выберите Карантин или предложенное им действие. Не нажимайте «Разрешить» или «Восстановить».
   • Сообщите IT результат проверки и название обнаружения.

   Если написано, что настройками управляет организация, или защита отключена, не пытайтесь включать её вручную. Проверку Microsoft Defender Offline тоже лучше сначала согласовать: она перезагружает компьютер.

3. Если хотите только осмотреть подозрительный процесс:

   • Нажмите Ctrl + Shift + Esc и откройте Диспетчер задач.
   • Найдите процесс и выберите «Открыть расположение файла».
   • Запишите название процесса и путь к файлу; при необходимости сделайте снимок экрана.
   • В свойствах файла можно посмотреть издателя и цифровую подпись, но отсутствие подписи само по себе ещё не доказывает заражение.

   Не завершайте процесс и не удаляйте файл, если IT не подтвердили, что это безопасно. Не отключайте неизвестные пункты автозагрузки: они могут относиться к корпоративным программам, а отключение не гарантирует удаления угрозы.

Если началось шифрование файлов

Если файлы массово переименовываются, исчезают или появляются сообщения о выкупе, прекратите работу на компьютере и сразу позвоните IT с другого устройства. Если IT недоступны, отключите компьютер от Wi‑Fi или кабельной сети, но не выключайте его без указания специалистов: так может сохраниться информация, нужная для расследования.

Итого: проверить Defender и зафиксировать подозрительные сведения — разумно; вручную удалять файлы или чистить автозагрузку на рабочем ПК — нет.

Никак, надо срочно выкинуть комп, иначе вирус может списать все деньги с карты