Nie działa analiza podejrzanych aplikacji

Niedziałająca analiza podejrzanych aplikacji wskazuje na wyłączoną ochronę w czasie rzeczywistym Windows Defender lub konflikt z innym oprogramowaniem antywirusowym.

Czym jest problem z analizą podejrzanych aplikacji

Komunikat „Nie działa analiza podejrzanych aplikacji” oznacza, że system Windows nie potrafi prawidłowo sprawdzić programu przed jego uruchomieniem albo nie przekazuje wyniku kontroli użytkownikowi. Taka analiza ma ograniczać ryzyko otwarcia pliku zawierającego złośliwy kod, niepożądane dodatki, próbę wyłudzenia danych lub mechanizmy wykonujące działania bez wiedzy osoby korzystającej z komputera. Może dotyczyć instalatora pobranego z internetu, załącznika zapisanym z poczty, pliku wykonywalnego, skryptu lub aplikacji przeniesionej z innego urządzenia.

Nie zawsze oznacza to, że sam program jest zainfekowany. Przyczyną może być wyłączona ochrona w czasie rzeczywistym, niepełne działanie zabezpieczeń systemowych, konflikt z dodatkowym antywirusem, uszkodzenie składników Windows Security albo brak dostępu do usług potrzebnych do sprawdzenia reputacji pliku. Zdarza się również, że analiza zostaje zablokowana przez ustawienia administracyjne, ograniczenia konta użytkownika, zaporę sieciową lub problemy z połączeniem podczas pobierania informacji o zagrożeniu.

W praktyce należy odróżnić trzy sytuacje: brak samego skanowania, brak komunikatu mimo wykonanej kontroli oraz odrzucenie aplikacji przez zabezpieczenia. Każda z nich wymaga innego postępowania. Samo zezwolenie na uruchomienie programu bez ustalenia przyczyny błędu może usunąć ostrzeżenie, ale nie rozwiązuje problemu z mechanizmem ochronnym.

Kontekst techniczny i porównanie sposobów kontroli - Nie działa analiza podejrzanych aplikacji

Windows korzysta z kilku współpracujących mechanizmów bezpieczeństwa. Ochrona w czasie rzeczywistym obserwuje pliki i procesy lokalnie, natomiast sprawdzanie reputacji może porównywać informacje o aplikacji z bazą znanych zagrożeń. Dodatkową rolę odgrywa kontrola pobieranych plików, zabezpieczenia przeglądarki oraz reguły dotyczące uruchamiania nieznanych programów. Jeżeli jeden z tych elementów jest wyłączony albo nie może skontaktować się z pozostałymi składnikami, analiza może wyglądać na niesprawną, nawet gdy część ochrony nadal działa.

Inaczej przebiega kontrola pliku już zapisanego na dysku, a inaczej obserwacja aplikacji uruchomionej po raz pierwszy. Skan lokalny wykorzystuje sygnatury i reguły wykrywania, zaś ocena reputacyjna może brać pod uwagę źródło pliku, jego podpis cyfrowy oraz wcześniejsze zgłoszenia. Program może więc zostać uznany za ryzykowny nie dlatego, że wykryto konkretną infekcję, lecz dlatego, że pochodzi z nieznanego miejsca albo został zmodyfikowany po podpisaniu.

W przypadku zainstalowanego drugiego programu antywirusowego może dojść do przejęcia części funkcji ochronnych przez inne oprogramowanie. Czasem jest to prawidłowa zmiana trybu zabezpieczeń, a czasem konflikt usług, sterowników i harmonogramów skanowania. Należy też uwzględnić różnicę między kontem standardowym a administratorem. Uprawnienia wpływają na możliwość włączenia ochrony, zmianę wyjątków oraz dostęp do ustawień zabezpieczeń, lecz nie powinny być powodem bezrefleksyjnego uruchamiania nieznanego pliku.

Bezpieczniejszym podejściem jest najpierw ustalenie źródła aplikacji, sprawdzenie jej podpisu i przeskanowanie pliku, a dopiero później podjęcie decyzji o użyciu. Jeżeli program nie jest potrzebny, można go usunąć bez otwierania. Przy plikach roboczych warto skontaktować się z dostawcą oprogramowania i pobrać nową kopię z oficjalnego źródła.

Typowe problemy i błędy prowadzące do niesprawnej analizy

Jednym z częstszych powodów jest wyłączenie ochrony w czasie rzeczywistym. Może nastąpić ręcznie, po zastosowaniu nieprawidłowej optymalizacji systemu, przez złośliwy program albo w wyniku działania narzędzia, które zmienia ustawienia zabezpieczeń. Objawem bywa wyszarzona opcja w Windows Security, brak aktualnego stanu ochrony lub komunikat sugerujący konieczność sprawdzenia ustawień.

Drugą grupę stanowią konflikty między zabezpieczeniami. Pozostałości po odinstalowanym antywirusie, aktywna wersja próbna, dodatkowy moduł kontroli aplikacji lub usługa działająca w tle mogą blokować komunikację z ochroną systemową. Samo usunięcie skrótu programu nie zawsze usuwa jego usługi i sterowniki, dlatego problem może pozostać mimo pozornie poprawnej dezinstalacji.

Analiza może również nie działać po aktualizacji systemu, przerwanym uaktualnieniu definicji albo uszkodzeniu plików systemowych. Wtedy występują nie tylko trudności z podejrzanymi aplikacjami, lecz także problemy z otwieraniem ustawień bezpieczeństwa, wyświetlaniem stanu ochrony lub wykonywaniem skanowania. Warto sprawdzić, czy błąd dotyczy jednego pliku, czy wszystkich nowych programów.

Ryzykownym błędem jest dodawanie nieznanej aplikacji do wyjątków tylko po to, aby ominąć komunikat. Wyjątek może sprawić, że plik i proces przestaną być kontrolowane przez wybrany mechanizm ochronny. Podobnie nie należy wyłączać zapory, ochrony reputacyjnej ani kontroli konta użytkownika bez rozpoznania przyczyny. Jeśli plik pochodzi z niepewnego źródła, powinien zostać odłożony do czasu weryfikacji, a przy podejrzeniu infekcji nie należy logować się do bankowości ani otwierać poufnych dokumentów na tym urządzeniu.

W diagnostyce pomocne jest ustalenie momentu pojawienia się usterki, nazwy aplikacji, lokalizacji pliku, źródła pobrania oraz tego, czy wcześniej instalowano inne zabezpieczenia lub narzędzia do modyfikacji Windows. Należy także zwrócić uwagę na nietypowe reklamy, samoczynne przekierowania, spowolnienie pracy, nieznane procesy i zmianę ustawień przeglądarki, ponieważ mogą wskazywać na szerszy problem niż pojedynczy komunikat.

Kiedy warto oddać urządzenie do diagnozy - Nie działa analiza podejrzanych aplikacji

Do serwisu warto zgłosić komputer, gdy analiza nie uruchamia się mimo prawidłowych ustawień, opcje ochrony są zablokowane, system regularnie traci stan zabezpieczeń albo problem powraca po restarcie. Zgłoszenie jest szczególnie uzasadnione, gdy nie da się ustalić, który program wyłączył ochronę, pojawiają się nieznane konta użytkowników lub podejrzane procesy, a także gdy błąd występuje równocześnie z problemami z aktualizacjami i narzędziami Windows Security.

W Warszawie takie przypadki można przekazać do „Warszawskiego Pogotowia Komputerowego 24/7”, gdzie w odniesieniu do laptopa dostępna jest darmowa diagnoza LAPTOPA. Podczas sprawdzania można ustalić, czy źródłem jest konflikt programów ochronnych, uszkodzenie składników systemu, nieprawidłowe uprawnienia, zmienione zasady bezpieczeństwa czy faktyczna obecność niepożądanego oprogramowania. Istotne jest rozdzielenie naprawy ustawień od oceny samego podejrzanego pliku, aby nie przywracać działania aplikacji kosztem bezpieczeństwa.

Przed przekazaniem urządzenia nie powinno się kasować komunikatów, czyścić historii wykryć ani instalować kolejnych programów ochronnych na próbę, ponieważ może to utrudnić ustalenie przebiegu zdarzeń. Warto zanotować nazwę aplikacji, zapisać treść ostrzeżenia i wskazać, po jakiej operacji pojawił się problem. Jeżeli na komputerze przechowywane są dane logowania, dokumenty firmowe lub informacje finansowe, zalecane jest odłączenie urządzenia od internetu do czasu sprawdzenia sytuacji.

Po usunięciu przyczyny należy ponownie zweryfikować działanie ochrony, aktualizowanie baz, możliwość skanowania oraz reakcję systemu na bezpieczny plik testowy lub znaną aplikację pobraną z wiarygodnego źródła. Dopiero wtedy można przywrócić codzienną pracę. W przypadku pliku nadal uznawanego za podejrzany decyzję o jego użyciu powinno się podejmować na podstawie potwierdzonego źródła, podpisu i przeznaczenia, a nie wyłącznie na podstawie tego, że udało się wyłączyć ostrzeżenie.