Поиск вредоносного файла на диске: порядок проверки

Поиск вредоносного файла на диске: порядок проверки

Коротко. Ручной поиск не заменяет антивирус, но помогает найти то, что он пропустил. Начинайте с автозагрузки и планировщика, затем проверяйте временные папки и недавно изменённые файлы. Найденное не удаляйте вручную, если это системный файл: сначала проверка и карантин.

Когда ручной поиск оправдан

• Антивирус ничего не находит, но поведение изменилось.
• Есть подозрение на конкретный файл.
• Нужно понять, откуда программа запускается.
• После чистки угроза возвращается.

Если система работает нормально, тратить часы на поиск не стоит.

Шаг 1. Автозагрузка

1. Диспетчер задач → «Автозагрузка».
2. Отключите всё, что не узнаёте.
3. Посмотрите расположение файлов.

Опасные признаки: путь во временной папке, случайное имя, отсутствие подписи, запуск скрипта.

Шаг 2. Планировщик заданий

1. Откройте «Планировщик заданий».
2. Просмотрите библиотеку планировщика.
3. Обратите внимание на задачи с триггерами «При входе» и «При запуске».
4. Проверьте действия задач.

Задача, запускающая файл из Temp или AppData, — повод проверить её.

Шаг 3. Службы

services.msc показывает службы. Подозрительные:

• без описания;
• с путём в пользовательской папке;
• запускаются от имени системы без причины;
• появились недавно.

Не отключайте службы, в которых не уверены: это может нарушить работу Windows.

Шаг 4. Временные папки

Проверьте:

• %TEMP%;
• C:\Windows\Temp;
• папку загрузок;
• AppData\Roaming и AppData\Local.

Ищите исполняемые файлы, которых там быть не должно: .exe, .dll, .scr, .bat, .ps1, архивы с ними.

Не удаляйте всё подряд: часть файлов используется программами прямо сейчас.

Шаг 5. Недавние файлы

Сортировка по дате изменения помогает найти то, что появилось в момент проблемы.

1. Откройте проводник.
2. Перейдите в папку пользователя.
3. Включите отображение скрытых файлов.
4. Отсортируйте по дате.

Смотрите на сочетание: новая дата, необычное имя, исполняемое расширение.

Шаг 6. Расширения и маскировка

Опасные сочетания:

• двойное расширение (документ.pdf.exe);
• .scr, .pif, .hta;
• архивы с исполняемыми файлами;
• документы с макросами.

Включите отображение расширений: «Проводник» → «Показать» → «Расширения имён файлов».

Шаг 7. Проверка антивирусом

Найденные файлы не запускайте. Порядок:

1. Проверьте файл через контекстное меню антивируса.
2. При обнаружении — карантин.
3. Если угроза возвращается, запустите автономную проверку.
4. После проверки перезагрузитесь.

Автономная проверка работает вне обычной системы и лучше находит загрузчики.

Шаг 8. Проверка браузера

• Расширения: удалите незнакомые.
• Уведомления: отключите подозрительные сайты.
• Поисковая система: проверьте настройки.
• Стартовая страница: верните свою.

Иногда «вирус» оказывается расширением, которое ставит рекламу.

Что делать после находки

• Смените пароли.
• Проверьте активные сеансы.
• Проверьте автозагрузку повторно.
• Сделайте резервную копию документов.
• При серьёзном заражении рассмотрите переустановку.

Чего не делать

• Не удаляйте файлы из System32 вручную.
• Не отключайте защиту, чтобы «найти быстрее».
• Не запускайте подозрительный файл в песочнице без понимания.
• Не скачивайте «сканеры» из рекламы.
• Не игнорируйте повторное появление файла.

Что запомнить

• Ручной поиск дополняет антивирус.
• Начинайте с автозагрузки и планировщика.
• Временные папки — частое место закрепления.
• Проверяйте расширения файлов.
• Найденное проверяйте, а не удаляйте вслепую.

Почему антивирус может не находить угрозу

Современные вредоносные программы маскируются: работают в памяти, используют подписанные системные утилиты, меняют поведение при запуске анализа. Поэтому проверка «в лоб» не всегда даёт результат.

Ручной поиск помогает найти не саму вредоносную программу, а её закрепление: задачу в планировщике, службу, ссылку в автозагрузке. Удалив закрепление, вы лишаете программу возможности запускаться.

Как работать с найденным файлом

Не запускайте его и не открывайте «посмотреть». Скопируйте в отдельную папку, если хотите сохранить для анализа, и проверьте антивирусом.

Если файл заблокирован и не удаляется, проверьте, не запущен ли процесс. Иногда помогает загрузка в безопасном режиме — но это отдельный шаг, а не первое действие.

Что делать после чистки

Проверьте автозагрузку повторно, обновите определения антивируса, перезагрузитесь и посмотрите нагрузку в простое. Если подозрительная активность вернулась, повторите проверку и рассмотрите автономное сканирование.

Когда нужен специалист

Если на ноутбуке хранятся рабочие документы, а заражение повторяется, не тратьте дни на ручную чистку. Переустановка системы с форматированием диска и восстановление данных из проверенной резервной копии быстрее и надёжнее.

Как не удалить нужное

Перед удалением проверьте файл: подпись, расположение, дату. Системные файлы Windows лежат в своих папках и подписаны Microsoft.

Если сомневаетесь, переместите файл в отдельную папку, а не удаляйте сразу. Так вы сможете вернуть его, если программа перестанет работать.

Не удаляйте папки целиком: внутри могут быть данные других программ. Лучше разбираться с конкретными файлами.

После любой чистки перезагрузитесь и проверьте работу системы. Если что-то сломалось, верните файл из папки или из резервной копии.

Как искать описание угрозы безопасно

Не переходите по ссылкам из поиска, если ищете описание подозрительного файла. Многие сайты предлагают «сканеры», которые сами являются нежелательными программами.

Проверяйте файл через официальные сервисы и встроенный антивирус. Описание угрозы лучше искать на сайте производителя антивируса, а не на форумах с сомнительными советами.

Если вы не уверены, что делает файл, не запускайте его. Любопытство здесь дороже осторожности.

Короткая памятка

Автозагрузка, планировщик, временные папки, расширения файлов, проверка антивирусом. Найденное не запускать, систему не ломать, после чистки сменить пароли.

Что делать, если файл найден в системной папке

Не удаляйте его сразу. Проверьте подпись и дату. Если файл подписан Microsoft и совпадает по версии с системой, вероятно, это ложное срабатывание.

Если подпись отсутствует, а файл лежит в системной папке, проверьте его антивирусом и обратитесь в поддержку: вручную удалять системные файлы опасно.

FAQ

Можно ли найти вирус без антивируса?

Можно найти подозрительные файлы, но проверять их нужно антивирусом.

Опасно ли открывать папку Temp?

Нет, но не запускайте файлы оттуда.

Как отличить системный файл?

По расположению и подписи; сомнительные проверяйте онлайн-сервисом.

Что делать, если файл не удаляется?

Проверьте, не запущен ли он, и используйте антивирус.

Поможет ли переустановка?

Да, это надёжный способ избавиться от закрепления.

Нужно ли менять пароли?

Да, если была вероятность кражи данных.

Связанные материалы

• Ноутбук заражён: первые действия.
• Скрытый майнер на ноутбуке.
• Проверка флешки на вирусы.