Троянский конь: удаление с Windows 10¶

Троянский конь — это класс вредоносного программного обеспечения, которое маскируется под легитимное приложение и выполняет вредоносные действия по указанию злоумышленника без ведома пользователя. В отличие от вируса, троян не способен к саморазмножению, но может красть пароли, шифровать файлы, открывать удалённый доступ к системе и включать компьютер в ботнет. Удаление трояна с компьютера под управлением Windows 10 представляет собой многоэтапную процедуру, включающую диагностику, карантин заражённых файлов и восстановление системы.

¶Признаки заражения

Основные симптомы присутствия трояна на компьютере:

• неожиданное замедление работы системы, резкое увеличение загрузки процессора и оперативной памяти;
• самопроизвольное открытие окон браузера, перенаправление на рекламные или мошеннические сайты;
• изменение настроек браузера: главной страницы, поисковика, новой вкладки;
• появление незнакомых программ в списке установленного ПО, автозагрузке или службах Windows;
• блокировка антивируса или его невозможность обновить базы;
• исчезновение или шифрование файлов с расширением .locked, .crypt и подобными;
• активность сетевого трафика при отсутствии действий пользователя;
• сообщения о «заражении» с требованием оплатить якобы легализацию системы — типичный признак вымогателя.

¶Подготовка к удалению

Перед запуском сканирования необходимо выполнить ряд действий, повышающих эффективность очистки.

¶Отключение интернета и загрузка в безопасном режиме

Первый шаг — отключение сетевых подключений (кабель и Wi-Fi), чтобы лишить троян возможности передавать данные и загружать дополнительные компоненты. Затем компьютер перезагружается в безопасном режиме: при загрузке удерживается клавиша Shift, после чего выбирается «Перезагрузка» → «Поиск и устранение неисправностей» → «Дополнительные параметры» → «Параметры загрузки» → «Перезагрузка» → клавиша F4 или 4 для загрузки в безопасном режиме. В этом режиме загружаются только базовые драйверы и службы Windows, что мешает большинству троянов активно работать и защищать себя.

¶Создание резервной копии

Поскольку часть файлов может быть зашифрована или повреждена, рекомендуется заранее скопировать важные документы на внешний носитель. При этом следует избегать запуска исполняемых файлов (.exe, .bat, .js) из скопированного набора.

¶Антивирусное сканирование

¶Штатные средства Windows 10

Windows 10 включает встроенное решение безопасности — Microsoft Defender (ранее Windows Defender). Для запуска полного сканирования: «Параметры» → «Обновление и безопасность» → «Безопасность Windows» → «Защита от вирусов и угроз» → «Параметры сканирования» → «Полное сканирование» → «Сканировать сейчас». Перед этим рекомендуется обновить сигнатуры через «Защита от вирусов и угроз» → «Параметры» → «Получить обновления защитника».

¶Специализированные утилиты

Для более глубокой проверки используются дополнительные инструменты, работающие по принципу «одноразовой» утилиты (он-деманд), не конфликтующие с основным антивирусом:

• Kaspersky Virus Removal Tool — бесплатная утилита для разовой проверки и очистки;
• Dr.Web CureIt! — аналогичный инструмент от «Доктор Веб»;
• ESET Online Scanner — облачное сканирование с использованием актуальных баз;
• Malwarebytes — утилита, ориентированная на обнаружение шпионского ПО и рекламных модулей.

Утилита запускается, соглашаются с лицензионным соглашением, выбирается режим полного сканирования, после чего программа проверяет все разделы диска. Обнаруженные угрозы помещаются в карантин или удаляются.

¶Удаление вручную

Если автоматические средства не справляются, выполняется ручная очистка.

¶Проверка автозагрузки и служб

Через диспетчер задач (Ctrl + Shift + Esc) во вкладке «Автозагрузка» отключаются подозрительные элементы. В утилите msconfig (Win + R → msconfig) проверяются службы: отключаются все нетипичные для Windows записи.

¶Удаление подозрительных программ

В «Приложениях и возможностях» (Параметры → Приложения) удаляются программы, которые пользователь не устанавликал. Также проверяются папки %AppData%, %LocalAppData%, %Temp% на наличие неизвестных исполняемых файлов.

¶Проверка реестра

Редактор реестра (Win + R → regedit) открывается для проверки ключей:

• HKLM\Software\Microsoft\Windows\CurrentVersion\Run
• HKCU\Software\Microsoft\Windows\CurrentVersion\Run
• HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce

В них не должно быть записей, ведущих на неизвестные пути.

¶Восстановление системы

Если троян был обнаружен относительно недавно, можно использовать точку восстановления: «Панель управления» → «Восстановление» → «Запуск восстановления системы». Система откатится к состоянию на момент создания точки, при этом личные файлы сохранятся.

В тяжёлых случаях, когда вредонос модифицировал системные файлы, применяется команда sfc /scannow в командной строке от администратора для проверки целостности системных компонентов, а также DISM /Online /Cleanup-Image /RestoreHealth.

¶Профилактика

Для предотвращения повторного заражения рекомендуется:

• не открывать вложения из подозрительных писем и не переходить по ссылкам в них;
• скачивать программы только с официальных сайтов разработчиков;
• обновлять Windows и установленное ПО;
• использовать полноценный антивирус с включённой защитой в реальном времени;
• включить показ расширений файлов в проводнике, чтобы отличать документы от исполняемых файлов;
• регулярно создавать резервные копии важных данных.

Источники:

• Microsoft Docs — документация по Windows Defender и средствам безопасности Windows 10
• «Доктор Веб» — руководства по удалению вредоносного ПО
• Лаборатория Касперского — памятки по борьбе с троянами
• NIST — рекомендации по реагированию на компьютерные инциденты (SP 800-61)