Jedno skanowanie bez wykrytych zagrożeń nie daje stuprocentowej pewności, że komputer jest już czysty. Wiarygodna ocena wymaga połączenia kilku informacji: wyniku usuwania wykrycia, ponownego skanowania po aktualizacji bazy, kontroli uruchamiania systemu oraz sprawdzenia, czy zagrożenie nie powraca. Jeżeli infekcja mogła wykraść hasła albo uzyskać uprawnienia administratora, samo usunięcie pliku również nie kończy incydentu.
Najważniejsze jest ustalenie, co dokładnie zostało wykryte i jaką akcję wykonał program ochronny. Inaczej ocenia się pojedynczy zablokowany plik pobrany z internetu, inaczej aktywnego trojana kradnącego dane, a jeszcze inaczej rootkita próbującego ukryć się przed systemem.
Co właściwie znaczy, że wirus został usunięty?
Komunikat o usunięciu zagrożenia oznacza, że program zabezpieczający wykonał działanie wobec rozpoznanego obiektu. Mógł go zablokować, przenieść do kwarantanny albo skasować. Nie potwierdza automatycznie, że wykryto wszystkie powiązane składniki infekcji, cofnięto zmiany w ustawieniach i zabezpieczono konta, których dane mogły zostać przejęte.
W aplikacji Zabezpieczenia Windows warto zacząć od Historii ochrony. Microsoft rozróżnia między innymi zagrożenie poddane kwarantannie, zablokowane i usunięte oraz nieukończone działania naprawcze. To ostatnie oznacza, że oczyszczanie nie zostało zakończone i wymaga dodatkowej reakcji.
Ważne: brak objawów nie jest dowodem braku infekcji. Wiele programów wykradających hasła lub zapewniających zdalny dostęp działa po cichu. Z drugiej strony wolny komputer, reklamy albo błędy aplikacji nie muszą oznaczać wirusa. Jeśli jesteś jeszcze na etapie usuwania zagrożenia, zacznij od instrukcji jak usunąć wirusa z komputera krok po kroku, a dopiero później przejdź do weryfikacji, czy system jest już czysty.
Jak sprawdzić, czy komputer jest już czysty?
1. Ustal, co wykryto i czy działanie zostało ukończone
Otwórz Zabezpieczenia Windows, przejdź do sekcji Ochrona przed wirusami i zagrożeniami, a następnie wybierz Historię ochrony. Rozwiń kartę wykrycia i sprawdź nazwę zagrożenia, lokalizację pliku, datę, status oraz wykonaną akcję.
Jeżeli element nadal czeka na decyzję, wybierz zalecaną akcję. Nie używaj opcji „Zezwalaj na urządzeniu” tylko dlatego, że potrzebujesz danego pliku. Przywrócenie rzeczywistego zagrożenia może ponownie uruchomić infekcję.
- Zablokowane zagrożenie – plik nie powinien zostać uruchomiony, ale warto ustalić, skąd pochodził.
- Kwarantanna – obiekt jest odizolowany, lecz nadal znajduje się w kontrolowanym magazynie programu ochronnego.
- Usunięte zagrożenie – wykryty obiekt został skasowany; nadal trzeba sprawdzić, czy nie pozostawił innych składników.
- Nieukończone działanie naprawcze – oczyszczanie wymaga dodatkowego kroku, ponownego uruchomienia albo ponownego skanowania.
2. Zaktualizuj Windows i bazę zabezpieczeń
Przed ponownym skanowaniem zainstaluj dostępne aktualizacje systemu oraz aktualizacje analizy zabezpieczeń Microsoft Defender. Stara baza sygnatur może nie rozpoznawać nowego wariantu malware. Aktualizacja systemu usuwa natomiast podatności, przez które zagrożenie mogłoby wrócić.
Jeżeli podejrzewasz aktywnego trojana, ransomware albo zdalne przejęcie urządzenia, najpierw odłącz komputer od sieci. Krótkie ponowne połączenie potrzebne do pobrania aktualizacji powinno nastąpić dopiero wtedy, gdy oceniasz, że nie spowoduje dalszego rozprzestrzeniania infekcji. W firmie taką decyzję powinien podjąć administrator.
3. Wykonaj pełne skanowanie
Szybkie skanowanie obejmuje przede wszystkim miejsca, w których najczęściej działa złośliwe oprogramowanie. Po rzeczywistym wykryciu warto uruchomić skanowanie pełne, które sprawdza pliki i uruchomione programy na wszystkich dostępnych dyskach. Może potrwać długo, szczególnie przy dużej liczbie plików.
Po zakończeniu ponownie sprawdź Historię ochrony. Jeśli pojawiło się kolejne wykrycie o tej samej nazwie lub w podobnej lokalizacji, zagrożenie może się odtwarzać z innego składnika, zadania albo procesu.
4. Uruchom skanowanie offline, jeśli zagrożenie powraca
Część malware próbuje ukrywać się podczas normalnej pracy Windows. Skanowanie offline Microsoft Defender uruchamia kontrolę poza zwykłym środowiskiem systemowym, dlatego może wykrywać elementy trudniejsze do usunięcia podczas standardowego skanowania.
Ten tryb jest szczególnie uzasadniony, gdy wykrycie wraca po restarcie, ochrona zostaje samoczynnie wyłączona, program antywirusowy nie potrafi dokończyć naprawy albo istnieje podejrzenie rootkita. Przed uruchomieniem zapisz pracę, ponieważ komputer zostanie ponownie uruchomiony.
5. Sprawdź miejsca, z których program może uruchamiać się ponownie
Nie usuwaj przypadkowych procesów i plików systemowych. Zamiast tego sprawdź łatwo dostępne miejsca, w których mogą pozostać podejrzane lub niechciane programy:
- listę ostatnio instalowanych aplikacji w Ustawieniach Windows,
- aplikacje startowe w Ustawieniach lub Menedżerze zadań,
- rozszerzenia wszystkich używanych przeglądarek,
- zmienioną stronę startową i domyślną wyszukiwarkę,
- wyjątki i dozwolone zagrożenia w programie ochronnym,
- nowe konta użytkowników oraz nieznane uprawnienia administratora.
Podejrzana nazwa procesu sama w sobie nie wystarcza do jego usunięcia. Malware może podszywać się pod składniki Windows, a legalne programy często mają mało czytelne nazwy. Jeżeli nie potrafisz zweryfikować elementu, zanotuj jego nazwę i lokalizację, zamiast od razu kasować plik.
6. Oceń, czy ustąpiły objawy infekcji
Artykuł o objawach zainfekowania systemu przez malware opisuje symptomy, które warto porównać przed i po oczyszczaniu. Szczególnie niepokojące są ponowne przekierowania w przeglądarce, samoczynne wyłączanie zabezpieczeń, nieznane logowania, nowe wykrycia po każdym uruchomieniu oraz pliki, które ponownie pojawiają się po usunięciu.
Jednocześnie utrzymujące się spowolnienie może być skutkiem uszkodzenia plików systemowych, przepełnionego dysku, błędnego sterownika albo wielu aplikacji działających w tle. Nie należy wykonywać reinstalacji wyłącznie dlatego, że komputer nadal działa wolniej niż wcześniej.
7. W razie potrzeby użyj skanera drugiej opinii
Dodatkowy skaner uruchamiany na żądanie może zweryfikować wynik innym silnikiem. Pobieraj takie narzędzie wyłącznie z oficjalnej witryny producenta i sprawdź podpis cyfrowy instalatora. Nie instaluj kilku programów antywirusowych działających jednocześnie w czasie rzeczywistym, ponieważ mogą wchodzić ze sobą w konflikt.
Microsoft udostępnia między innymi Safety Scanner, który służy do ręcznego wyszukiwania i usuwania malware. Nie zastępuje on stałej ochrony i po określonym czasie wymaga pobrania nowej wersji z aktualnymi definicjami.
Usunięcie wirusa to nie zawsze koniec incydentu
Jeżeli zagrożenie mogło kraść hasła, ciasteczka sesyjne, dane płatnicze albo dokumenty, czysty wynik skanowania nie cofnie wcześniejszego wycieku. Hasła należy zmieniać z innego, zaufanego urządzenia. Zacznij od poczty elektronicznej, ponieważ dostęp do skrzynki często umożliwia resetowanie haseł w pozostałych usługach.
- zmień przejęte hasło i wszystkie hasła używane ponownie w innych serwisach,
- wyloguj pozostałe sesje i usuń nieznane urządzenia z konta,
- włącz uwierzytelnianie wieloskładnikowe,
- sprawdź reguły przekazywania poczty i dane odzyskiwania konta,
- obserwuj historię logowań oraz transakcji,
- w firmie zgłoś incydent administratorowi lub osobie odpowiedzialnej za bezpieczeństwo.
Kiedy lepiej wykonać czystą instalację Windows?
Czysta instalacja jest rozsądnym rozwiązaniem, gdy nie można wiarygodnie ustalić zakresu infekcji albo system nadal zachowuje się podejrzanie mimo oczyszczania. Szczegółowe różnice opisuje porównanie resetu, formatowania i reinstalacji Windows.
Reinstalację warto poważnie rozważyć, gdy:
- to samo zagrożenie pojawia się po każdym restarcie,
- wykryto rootkita, bootkita albo narzędzie zapewniające trwały zdalny dostęp,
- malware działało z uprawnieniami administratora,
- program ochronny został wyłączony lub zmodyfikowany,
- nie wiadomo, jak długo infekcja była aktywna i jakie zmiany wprowadziła,
- komputer przechowuje ważne dane firmowe, finansowe albo dane klientów,
- ekspert nie jest w stanie potwierdzić integralności systemu.
Instalację należy przygotować z czystego nośnika i zaufanego urządzenia. Przed przywróceniem danych trzeba sprawdzić kopię zapasową, ponieważ backup wykonany już po infekcji może zawierać złośliwe pliki.
Lista kontrolna po usunięciu malware
- Sprawdziłem status wykrycia w Historii ochrony.
- Zainstalowałem aktualizacje Windows i aktualizacje zabezpieczeń.
- Wykonałem pełne skanowanie.
- Przy podejrzeniu trwałego malware uruchomiłem skanowanie offline.
- Sprawdziłem aplikacje startowe, rozszerzenia i dozwolone wyjątki.
- Po restarcie zagrożenie nie pojawiło się ponownie.
- Zabezpieczyłem konta, które mogły zostać przejęte.
- Wiem, kiedy konieczna będzie czysta instalacja systemu.
Największą pewność daje nie pojedynczy komunikat, lecz zgodność kilku wyników: ukończone działanie naprawcze, brak ponownych wykryć, czyste skanowanie pełne i offline oraz brak oznak trwałości zagrożenia. W przypadku poważnej lub nieznanej infekcji bezpieczniej jest odbudować system niż zakładać, że każdy jej składnik został znaleziony.
