Antivírus našiel hrozbu: čo teraz, krok za krokom

V pravom dolnom rohu vyskočí okno: našla sa hrozba. Niekedy s názvom, ktorý nič nehovorí, niekedy s tromi tlačidlami a otázkou, čo s tým. A človek, ktorý mal práve rozrobenú fakturáciu, sa musí za dve sekundy rozhodnúť.

Tento text je práve o tej chvíli — o náleze, ktorý už máte na obrazovke. Nie je to porovnávanie antivírusov; či pre vás stačí vstavaná ochrana alebo treba samostatný program, rozoberáme inde: stačí Windows Defender, alebo treba samostatný antivírus. Tu ide o postup po zásahu.

Prvá vec: neklikať na „povoliť”

Znie to samozrejme, ale je to najčastejšia chyba. Tlačidlo, ktoré hrozbu povolí, je pre situáciu, keď presne viete, čo ten súbor je a odkiaľ pochádza — nie pre situáciu, keď chcete, aby okno zmizlo. Windows Zabezpečenie navyše na povolené položky nezabúda — vedie si stránku Povolené hrozby so zoznamom toho, čo bolo identifikované ako hrozba a používateľ to napriek tomu povolil. Proti takým položkám systém už nekoná. Ak ste niečo povolili omylom, na tej istej stránke sa to dá vybrať a zvoliť Nepovoliť — položka zmizne zo zoznamu a systém na ňu pri ďalšom výskyte znova zareaguje.

Čo tie tri možnosti naozaj znamenajú

Akcia	Čo sa stane so súborom	Kedy ju zvoliť
Karanténa	Súbor sa presunie do izolovaného priestoru, kde sa nedá spustiť, ale dá sa vrátiť	Predvolená rozumná voľba, keď si nie ste istí
Odstránenie	Súbor sa zmaže a späť sa nedostanete	Keď je jasné, že ide o škodlivý súbor a nič potrebné to nie je
Povolenie	Systém na súbor prestane reagovať	Len ak viete, čo to je a odkiaľ to je

Ponuka možností sa líši podľa typu nálezu — Microsoft priamo upozorňuje, že nemusíte mať k dispozícii všetky voľby. A hlavne: kým akciu nevyberiete a systém ju nevykoná, nález je len zablokovaný, nie odstránený. Preto sa okno neodkladá na potom a preto sa v ňom po výbere potvrdzuje tlačidlo Spustiť akcie. Celý zoznam nájdete kedykoľvek vo Windows Zabezpečení → Ochrana pred vírusmi a hrozbami → Aktuálne hrozby, kde sú aj položky zachytené skôr, než sa stihli prejaviť. História zásahov, karantény aj ručne povolených výnimiek je v časti História ochrany.

Falošný poplach, alebo skutočný nález?

Nie každý nález je vírus. Rozlíšenie je dôležité, lebo mení celý ďalší postup.

Potenciálne nechcené aplikácie (PUA). Microsoft ich popisuje ako kategóriu softvéru, ktorý spomaľuje počítač, zobrazuje neočakávané reklamy alebo doinštaluje ďalší, horší softvér. Nie sú to vírusy v pravom zmysle — a blokovanie PUA je predvolene vypnuté, takže ak vám takéto hlásenie chodí, niekto ho zapol. Typicky ide o „čističe”, panely nástrojov, sťahovače a inštalátory zabalené v inštalátoroch. Tu je odpoveď takmer vždy odstrániť.

Generátory kľúčov, cracky a „aktivátory”. Tu je falošný poplach málokedy naozaj falošný. Ide o programy, ktoré musia zasahovať do systému, a je to dokonalý spôsob, ako do firmy dostať čokoľvek ďalšie. Nález na takom súbore sa nepovoľuje, ani keď „to tam bolo roky”.

Makrá v dokumente. Nález na priloženom súbore z e-mailu je vážny, aj keď dokument vyzerá ako faktúra od známeho dodávateľa. Práve tak sa útoky do firiem dostávajú najčastejšie.

Vlastné nástroje a skripty. Diagnostické utility, staršie firemné programy a skripty od IT sa občas označia neprávom. Toto je jediná kategória, kde má zmysel nález spochybniť — ale nie povolením naslepo. Podozrivý súbor sa dá poslať Microsoftu na posúdenie a v nastaveniach je na to aj voľba Odoslať vzorku manuálne.

Keď je nález skutočný: poradie krokov

Poradie je dôležitejšie než rýchlosť.

1. Odpojte počítač od siete. Vytiahnite sieťový kábel alebo vypnite Wi-Fi. Cieľom je zabrániť šíreniu na ostatné stroje a spojeniu s útočníkom. Ak vidíte, že sa súbory práve menia alebo dostávajú cudziu príponu, počítač rovno vypnite — každá minúta znamená ďalšie súbory.
2. Nemeňte heslá z tohto počítača. Toto je najdôležitejšia veta celého článku. Ak je na stroji niečo, čo odchytáva klávesnicu, nové heslo sa práve odovzdá útočníkovi. Heslá meňte z iného, čistého zariadenia — z telefónu alebo z počítača kolegu.
3. Zmeňte heslá k tomu, čo je naozaj cenné, a to v poradí: e-mail, internet banking, správca hesiel, firemné konto. E-mail je prvý zámerne — cez obnovu hesla sa z neho dostane k všetkému ostatnému.
4. Skontrolujte pravidlá v e-maile. Preposielanie na cudziu adresu a pravidlá, ktoré presúvajú správy do koša, sú typická stopa po prevzatí konta.
5. Spustite úplnú kontrolu a po nej offline kontrolu (nižšie).
6. Pozrite ostatné počítače v sieti aj zdieľané priečinky a sieťové úložisko. Ak je stroj v doméne alebo má prístup k spoločným dátam, nález na jednom počítači nie je vec jedného počítača.
7. Zapíšte si, čo sa dialo — čas, názov nálezu, čo tomu predchádzalo, aký súbor sa otváral. Pri firemnom incidente je to podklad, ktorý nikto nezrekonštruuje spätne.

Offline kontrola: prečo sa oplatí

Bežná kontrola beží v spustenom Windowse — teda v tom istom prostredí, v ktorom môže bežať aj to, čo hľadá. Preto má Windows Zabezpečenie v Možnostiach kontroly okrem rýchlej, úplnej a vlastnej kontroly aj offline kontrolu. Funguje tak, že sa počítač reštartuje a kontrola prebehne mimo bežiaceho systému, v prostredí Windows Recovery Environment — malvér sa tam ťažšie skrýva a ťažšie bráni. Microsoft ju odporúča spustiť práve vtedy, keď máte podozrenie, že bol počítač vystavený malvéru. Pred spustením si uložte otvorené súbory, lebo zariadenie sa reštartuje, a výsledky hľadajte potom v časti História ochrany — na obrazovke sa po dokončení neobjavia.

Kedy už preinštalovať

Karanténa a čistenie stačia pri bežnom náleze, ktorý sa zachytil pri stiahnutí a nestihol nič spustiť. Preinštalovanie sa stáva rozumnou voľbou vtedy, keď:

• sa ten istý nález vracia po každom čistení,
• ochrana bola dlhšie vypnutá alebo mal stroj vypnuté aktualizácie,
• niekto na počítači spustil aktivátor alebo crack a nie je jasné, čo všetko zmenil,
• ide o ransomvér alebo o stroj, z ktorého sa útočník dostal ďalej,
• sa systém správa inak aj po vyčistení — cudzie okná, samovoľné presmerovania, nefunkčné bezpečnostné nastavenia.

Ako to spraviť bez straty dát a v akom poradí, sme rozpísali v článku preinštalovanie Windowsu 11 bez straty dát. Jedna vec platí zvlášť pri infikovanom stroji: dáta sa zálohujú, ale nie tak, že sa celý priečinok skopíruje späť do nového systému bez kontroly.

Čo nerobiť

• Nepridávajte vylúčenie, aby hlásenie prestalo chodiť. Microsoft k vylúčeniam píše priamo, že vylúčený súbor alebo proces sa už nekontroluje a môže ohroziť zariadenie aj údaje.
• Nevypínajte ochranu v reálnom čase, aby sa program „konečne nainštaloval”. Ochrana sa síce po čase sama zapne, ale to, čo sa medzitým nainštalovalo, zostane.
• Neinštalujte druhý antivírus navrch. Ak nainštalujete kompatibilný antivírus od inej firmy, Microsoft Defender Antivirus sa automaticky vypne — dva programy v reálnom čase nie sú dvojnásobná ochrana.
• Nesťahujte „opravovače” a čističe, ktoré sľubujú odstrániť vírus na jedno kliknutie. Do tejto kategórie spadá práve to, čo Microsoft označuje ako potenciálne nechcené aplikácie.

Kedy to prestáva byť vec jedného počítača

Vo firme sa hranica posúva vtedy, keď sa nález dotkne zdieľaných dát, e-mailu alebo viacerých staníc. Vtedy je namieste incident zdokumentovať a zvážiť jeho nahlásenie. Slovenský SK-CERT prijíma hlásenia kybernetických incidentov aj od verejnosti; pre povinné subjekty však platí, že za splnenie zákonnej povinnosti hlásenia závažného incidentu sa považuje len hlásenie cez Jednotný informačný systém kybernetickej bezpečnosti podľa zákona č. 69/2018 Z. z.

Ako to riešime my

Počítače a notebooky preberáme na kontaktnom mieste v Považskej Bystrici, osobné odovzdanie si dohadujeme vopred a bežné okno je v pracovné dni medzi 10:00 a 16:00. Vozia k nám techniku z Púchova, Ilavy, Dubnice nad Váhom aj z Bytče.

Do správy nám napíšte presný názov nálezu z hlásenia (odfotený displej stačí), kedy sa objavil, čo tomu predchádzalo, či je stroj vo firemnej sieti a či ste už niečo povolili alebo vylúčili. S tým vieme povedať, či ide o čistenie, alebo o preinštalovanie, ešte pred tým, než počítač uvidíme. Rozsah služieb nájdete na stránke servis PC, zákazku začnete cez kontaktný formulár.

Rýchla odpoveď

Nepovoľujte nález, aby okno zmizlo — povolené položky sa zapíšu do zoznamu Povolené hrozby a systém proti nim už nekoná. Bezpečná voľba je karanténa; odstránenie vtedy, keď je jasné, o čo ide. Kým akciu nevyberiete a nespustíte, nález je len zablokovaný, nie odstránený. Potenciálne nechcené aplikácie sú kategória sama pre seba a blokovanie je predvolene vypnuté; nález na generátore kľúčov alebo na makre v prílohe berte vážne. Pri skutočnom náleze odpojte počítač od siete, heslá meňte z iného zariadenia (najskôr e-mail), skontrolujte pravidlá preposielania v pošte, spustite úplnú a potom offline kontrolu a pozrite ostatné stroje aj zdieľané priečinky. Výsledky offline kontroly nájdete v Histórii ochrany. Preinštalovanie má zmysel vtedy, keď sa nález vracia, bola vypnutá ochrana alebo išlo o ransomvér.

Časté otázky

Je karanténa dosť, alebo mám súbor odstrániť?

Karanténa je bezpečnejší prvý krok — súbor sa nedá spustiť a v prípade omylu sa dá vrátiť. Odstránenie je namieste, keď je jasné, že ide o škodlivý súbor. Ak si nie ste istí, nechajte položku v karanténe a poraďte sa; z karantény sa dá vrátiť, zo zmazania nie.

Antivírus označil program, ktorý používame roky. Čo s tým?

Nepovoľujte ho automaticky. Overte, odkiaľ pochádza a či ho niekto nedávno nesťahoval znova z iného zdroja. Podozrivý súbor sa dá poslať Microsoftu na posúdenie a v nastaveniach ochrany je na to voľba Odoslať vzorku manuálne. Vylúčenie je až posledná možnosť, nie prvá.

Prečo si nemám zmeniť heslá hneď na tom počítači?

Lebo ak na ňom beží niečo, čo sníma klávesnicu alebo obsah prehliadača, nové heslo odovzdáte útočníkovi v okamihu, keď ho napíšete. Heslá sa menia z iného zariadenia a v poradí od e-mailu, cez ktorý sa dá obnoviť takmer všetko ostatné.

Čo je offline kontrola a kedy ju spustiť?

Je to kontrola, ktorá prebehne po reštarte mimo bežiaceho Windowsu, v prostredí obnovy — malvér sa tam ťažšie skrýva. Počítač sa pri nej reštartuje, takže si vopred uložte prácu. Po dokončení sa systém reštartuje späť a výsledok nájdete v Histórii ochrany.

Musíme nález hlásiť?

Bežný zachytený súbor na jednom počítači nie. Pri firemnom incidente, ktorý sa dotkol zdieľaných dát alebo e-mailu, je namieste ho zdokumentovať; SK-CERT prijíma hlásenia aj od verejnosti a pre povinné subjekty platí, že zákonnú povinnosť spĺňa len hlásenie cez Jednotný informačný systém kybernetickej bezpečnosti.

Zdroje

• Ochrana pred vírusmi a hrozbami v aplikácii Windows Zabezpečenie — časť Aktuálne hrozby vrátane položiek v karanténe a povolených položiek, Možnosti kontroly (rýchla, úplná, vlastná a offline kontrola s reštartom do prostredia Windows Recovery Environment a výsledkom v Histórii ochrany), stránka Povolené hrozby s tlačidlom Nepovoliť, upozornenie k vylúčeniam, automatické vypnutie Microsoft Defender Antivirusu po inštalácii iného antivírusu a voľba Odoslať vzorku manuálne.
• Ochrana počítača pred potenciálne nechcenými aplikáciami — čo sú potenciálne nechcené aplikácie, predvolene vypnuté blokovanie, nastavenia Blokovať aplikácie a Blokovať stiahnuté súbory a upozornenie, že nález je do vykonania akcie len zablokovaný, nie odstránený.
• Submit a file for malware analysis (Microsoft Security Intelligence) — odoslanie podozrivého súboru alebo nesprávne označeného súboru Microsoftu na posúdenie.
• Nahlásiť incident — SK-CERT — možnosti hlásenia vrátane hlásení od verejnosti a upozornenie, že zákonnú povinnosť hlásenia závažného incidentu spĺňa len hlásenie cez Jednotný informačný systém kybernetickej bezpečnosti podľa zákona č. 69/2018 Z. z.