Работа заканчивается не статусом “Removed”, а контрольной проверкой:
- угроза не появляется снова;
- подозрительный процесс не стартует;
- браузер не восстанавливает чужие настройки;
- защита снова работает;
- последствия для аккаунтов понятны.
Сначала сохраняем контекст
Перед очисткой фиксируем:
- название обнаруженной угрозы;
- путь;
- дату;
- что сделал антивирус;
- повторялось ли раньше.
Это помогает отличить один заражённый файл от цепочки механизмов повторного запуска.
Quarantine / Remove / Block
Эти действия не равнозначны.
Если файл неизвестен, не нажимаем “Allow” только потому, что рабочая программа перестала запускаться.
Сначала проверяем:
- происхождение;
- подпись;
- производитель;
- обнаруженная угроза.
Потенциально нежелательные и рекламные программы
Очистка может включать:
- программу;
- автозапуск;
- расширение браузера;
- задание планировщика;
- изменённая поисковая система или домашняя страница.
Удаление одного EXE не всегда закрывает все последствия.
Механизмы повторного запуска
Если угроза появляется снова, ищем механизм повторного запуска:
- записи автозагрузки;
- службы;
- задания планировщика;
- расширения;
- сопутствующие приложения.
После очистки обязательны перезапуск и повторное сканирование.
Defender Offline
Используется, когда обычная Windows-сессия мешает удалить угрозу или обнаруженная угроза возвращается.
Это не обязательный ритуал для каждого случая, а инструмент для конкретного сценария.
Программы удалённого доступа
Если заражение связано с мошеннической “техподдержкой”, проверяем:
- AnyDesk/аналоги;
- доступ без подтверждения пользователя;
- новые аккаунты;
- автозапуск.
Удалить программу удалённого доступа мало, если злоумышленник уже видел пароли.
Аккаунты после компрометации
Если могли быть раскрыты:
- пароль почты;
- банковские данные;
- MFA-коды;
- корпоративные данные для входа,
их меняют с доверенного чистого устройства.
Очистка ПК и восстановление доверия к аккаунтам — разные задачи.
Программы-шифровальщики
Разделяем:
- удалить активную вредоносную программу;
- восстановить данные.
Зашифрованный файл не становится исходным после удаления программы-шифровальщика.
Проверяем:
- резервные копии;
- версии файлов в облаке;
- другие копии;
- сетевое хранилище.
Резервное копирование перед радикальными действиями
До сброса или переустановки нужно понимать:
- где важные документы;
- локальная почта;
- базы;
- сертификаты;
- шифрование.
Не превращаем “очистку” в потерю пользовательских данных.
Когда рассматриваем сброс или переустановку
Если:
- система серьёзно повреждена;
- доверие восстановить не получается;
- вредоносная программа глубоко изменила Windows;
- рекомендованный Microsoft способ восстановления подходит.
Не каждое заражение требует переустановки.
Финальная проверка
- Перезапуск.
- Protection history.
- Повторное сканирование.
- Автозагрузка и процессы.
- Браузер.
- Удалённый доступ.
- Обновления.
- Исходный симптом.
Что считать результатом
- угроза не появляется снова;
- защита активна;
- пользователь понимает, какие аккаунты требуют смены пароля;
- важные данные доступны;
- неизвестные программы удалённого доступа отсутствуют;
- исходный симптом исчез.
FAQ
Если Defender удалил файл, всё готово?
Не обязательно. Важно проверить повторное появление и последствия.
Нужно удалить все программы, установленные недавно?
Нет. Только подтверждённые нежелательные компоненты.
После вируса обязательно менять пароли?
Если есть риск, что их могли получить — да.
Нужно переустанавливать Windows?
Только если обычная очистка не позволяет разумно восстановить доверие к системе.
Зашифрованные программой-вымогателем файлы восстановятся после удаления вируса?
Нет автоматически. Восстановление данных — отдельный процесс.