Skanowanie antywirusowe

Skanowanie antywirusowe to sprawdzanie plików pod kątem obecności znanego złośliwego oprogramowania.

Jak działa kontrola antywirusowa w komputerze

Skanowanie antywirusowe jest procesem analizy danych zapisanych na dysku, w pamięci operacyjnej oraz w innych miejscach, z których system może uruchamiać programy. Program ochronny porównuje znalezione elementy z opisami znanych zagrożeń, ale współczesne narzędzia wykorzystują również reguły heurystyczne, analizę zachowania i ocenę reputacji plików. Dzięki temu mogą wskazać podejrzany obiekt także wtedy, gdy jego dokładny wariant nie występuje jeszcze w lokalnej bazie rozpoznawania.

Kontrola może obejmować pojedynczy plik, wybrany katalog, wszystkie dyski albo tylko obszary istotne z punktu widzenia uruchamiania systemu. Pełne skanowanie zwykle sprawdza między innymi pliki wykonywalne, biblioteki, skrypty, dokumenty z makrami, archiwa oraz elementy konfiguracji autostartu. Zakres zależy od programu, systemu operacyjnego i ustawień użytkownika. Samo przeskanowanie dysku nie oznacza jeszcze, że każdy fragment danych został przeanalizowany w identyczny sposób.

Ważnym elementem jest obserwacja procesów działających podczas pracy komputera. Ochrona w czasie rzeczywistym może zablokować otwarcie pliku, uruchomienie aplikacji lub pobranie danych, zanim użytkownik wykona pełne skanowanie. Skanowanie ręczne ma jednak znaczenie diagnostyczne, ponieważ pozwala sprawdzić już istniejące zasoby i wykryć zagrożenia, które pojawiły się przed instalacją albo aktualizacją programu ochronnego.

Rodzaje skanowania i dobór zakresu

Szybka kontrola koncentruje się na miejscach często wykorzystywanych przez złośliwe programy: procesach, autostarcie, pamięci oraz wybranych katalogach systemowych. Jej zaletą jest krótki czas działania, lecz nie zastępuje pełnej analizy nośnika. Pełne skanowanie przechodzi przez większą liczbę plików i może ujawnić zagrożenie ukryte w mniej używanym katalogu, na zewnętrznym dysku lub w profilu użytkownika.

Przy podejrzeniu infekcji przydatne jest skanowanie niestandardowe, obejmujące konkretny dysk, pamięć USB, katalog pobierania albo plik wskazany przez użytkownika. Gdy system zachowuje się niestabilnie, a aktywny program ochronny może być zmieniony przez złośliwe oprogramowanie, stosuje się kontrolę uruchamianą przed pełnym załadowaniem systemu. Ogranicza ona możliwość ukrywania się procesu w działającym środowisku, chociaż wymaga ponownego uruchomienia komputera.

Nie każdy plik można ocenić z taką samą dokładnością. Archiwum może zostać sprawdzone dopiero po rozpakowaniu, a dokument zaszyfrowany hasłem pozostanie częściowo niedostępny dla analizatora. Podobnie obraz kopii zapasowej nie zawsze jest badany jako zbiór wszystkich plików. Jeżeli nośnik zawiera wiele danych, warto rozpocząć od miejsc związanych z objawami, a następnie wykonać pełną kontrolę po aktualizacji baz i silnika ochrony.

Skanowanie obciąża procesor, pamięć masową i czasem pamięć operacyjną. Na starszym laptopie może powodować spowolnienie otwierania aplikacji, wzrost temperatury albo chwilowe zwiększenie hałasu wentylatora. Nie świadczy to samo w sobie o awarii. Niepokojące są natomiast przerwane kontrole, błędy odczytu, zawieszanie komputera przy tych samych plikach lub znikanie urządzenia z systemu, ponieważ przyczyną może być uszkodzenie nośnika.

Wyniki kontroli, fałszywe alarmy i objawy infekcji

Raport programu ochronnego powinien rozróżniać obiekt wykryty, obiekt zablokowany, element poddany kwarantannie oraz plik pominięty. Kwarantanna odizolowuje podejrzany materiał, aby nie mógł zostać łatwo uruchomiony. Usunięcie pliku nie zawsze jest właściwą decyzją, szczególnie gdy należy on do aplikacji potrzebnej do pracy. Najpierw trzeba ocenić ścieżkę, źródło pliku, podpis cyfrowy, datę utworzenia i związek z ostatnio instalowanym programem.

Fałszywy alarm występuje wtedy, gdy legalny plik zostaje uznany za podejrzany na podstawie podobieństwa kodu, nietypowego zachowania albo niskiej reputacji. Nie należy dodawać takiego elementu do wyjątków bez sprawdzenia pochodzenia. Wyjątek wyłącza część ochrony i może utrudnić kolejne kontrole. Bezpieczniejszym postępowaniem jest porównanie pliku z kopią pobraną z oficjalnego źródła, sprawdzenie podpisu oraz zapoznanie się z informacją producenta aplikacji.

Do symptomów wymagających analizy należą samoczynne uruchamianie nieznanych programów, zmiana strony startowej, przekierowania w przeglądarce, nowe rozszerzenia, blokowanie dokumentów, nietypowe komunikaty i nagły wzrost aktywności dysku. Pojedynczy objaw nie przesądza o infekcji. Podobne zachowanie może wynikać z błędnej aktualizacji, uszkodzenia systemu plików, zużycia dysku, przegrzewania albo konfliktu sterowników.

Jeżeli wykrycie dotyczy plików osobistych, przed dalszymi działaniami warto odłączyć komputer od sieci i nie uruchamiać podejrzanego programu ponownie. Kopię ważnych danych należy wykonywać ostrożnie, ponieważ skopiowanie niebezpiecznych plików może przenieść problem na kolejny nośnik. Po zakończeniu kontroli trzeba zaktualizować system i aplikacje, zmienić hasła używane na zainfekowanym urządzeniu oraz sprawdzić, czy kopie zapasowe nie zostały naruszone.

Kiedy problem wymaga diagnostyki sprzętu

Sam wynik skanowania nie wyjaśnia każdej awarii komputera. Jeśli laptop wyłącza się podczas kontroli, zawiesza przy odczycie określonych sektorów, zgłasza błędy dysku albo nie uruchamia systemu po usunięciu podejrzanych elementów, potrzebna jest osobna diagnostyka sprzętu i nośnika. Próby wielokrotnego uruchamiania uszkodzonego dysku mogą pogorszyć jego stan oraz zmniejszyć szanse na odzyskanie plików.

Warszawskie Pogotowie Komputerowe specjalizuje się w diagnostyce i naprawie laptopów, komputerów PC i podzespołów. W przypadku problemu pojawiającego się podczas skanowania można ustalić, czy źródłem są objawy infekcji, błędy zapisu, przegrzewanie lub usterka konkretnego podzespołu.

Do diagnostyki warto przekazać informacje o czasie wystąpienia problemu, komunikatach programu ochronnego, wcześniejszych naprawach, upadkach, zalaniu i nietypowych dźwiękach dysku. Należy również wskazać, czy dane na nośniku są ważne i czy istnieje ich kopia. Pozwala to dobrać kolejność działań: zabezpieczenie danych, sprawdzenie stanu urządzenia, a dopiero później naprawę systemu lub dalsze czynności związane z usuwaniem skutków infekcji.