Podejrzewasz, że ktoś ma dostęp do komputera? Najpierw odłącz Wi-Fi lub kabel Ethernet, a dopiero potem rozpocznij sprawdzanie. Przerwanie połączenia może zakończyć aktywną sesję zdalną i ograniczyć dalszy wyciek danych. Nie loguj się z podejrzanego urządzenia do banku ani poczty, dopóki nie sprawdzisz jego bezpieczeństwa.
Czy to awaria, czy nieautoryzowany dostęp?
Pojedyncze spowolnienie, zawieszenie programu albo głośna praca wentylatora nie są dowodem włamania. Takie objawy mogą powodować aktualizacje, brak miejsca na dysku, uszkodzone rozszerzenie przeglądarki lub zwykła awaria. Podejrzenie rośnie, gdy kilka sygnałów powtarza się jednocześnie i nie pasuje do sposobu korzystania z komputera.
| Objaw | Możliwa przyczyna techniczna | Podejrzenie włamania |
|---|---|---|
| Spowolnienie komputera | Aktualizacja, mała ilość pamięci, program działający w tle | Nieznany proces zużywa procesor lub wysyła dużo danych |
| Dziwne procesy lub programy | Składnik systemu, sterownik, legalne narzędzie administracyjne | Nieznana aplikacja z autostartu, usługa lub RAT |
| Samoczynne otwieranie okien | Błąd aplikacji, uszkodzona mysz, aktualizacja | Kursor porusza się bez udziału użytkownika lub ktoś uruchamia programy |
| Nietypowa aktywność konta | Synchronizacja lub automatyczne powiadomienie | Nieznane logowania, zmienione hasło albo wiadomości wysłane bez wiedzy właściciela |
| Wyłączony firewall lub antywirus | Błąd aktualizacji albo zmiana konfiguracji | Malware mogło wyłączyć zabezpieczenia, aby utrudnić wykrycie |
Legalne programy, takie jak AnyDesk, TeamViewer, Chrome Remote Desktop, RustDesk czy Microsoft Remote Desktop, nie są same w sobie złośliwe. Problem pojawia się wtedy, gdy zainstalowano je bez twojej zgody albo skonfigurowano stały dostęp bez potwierdzenia. Z kolei RAT, czyli Remote Access Trojan, jest narzędziem zaprojektowanym do utrzymania nieautoryzowanego dostępu i wykonywania poleceń na komputerze.
Co sprawdzić najpierw?
Po odłączeniu komputera od sieci wykonaj szybką kontrolę. Nie usuwaj od razu wszystkich podejrzanych plików, jeśli sprawa dotyczy danych firmowych, konfliktu rodzinnego lub możliwego wycieku. Późniejsze ustalenie, co się wydarzyło, może wymagać zachowania śladów.
Na początku sprawdź następujące elementy:
- czy w systemie pojawiło się nieznane konto użytkownika lub administratora,
- czy w Menedżerze zadań widać dodatkową sesję użytkownika,
- czy w autostarcie znajdują się nieznane programy,
- czy zainstalowano narzędzie zdalnego dostępu, którego nie rozpoznajesz,
- czy firewall, aktualizacje lub ochrona antywirusowa nie zostały wyłączone,
- czy przeglądarka ma nieznane rozszerzenia albo zmienione ustawienia.
Jak sprawdzić aktywne połączenia i sesje?
Połączenia sieciowe w Windows
Do podstawowej kontroli możesz użyć polecenia netstat. Nie pokazuje ono samo w sobie, że doszło do włamania. Pozwala jednak sprawdzić, czy komputer utrzymuje połączenia i na których portach nasłuchuje.
- Odłącz komputer od internetu, jeśli podejrzewasz aktywną kontrolę. Do samej analizy połączeń możesz później chwilowo włączyć sieć.
- Otwórz menu Start, wpisz cmd i uruchom Wiersz polecenia jako administrator.
- Wpisz polecenie netstat -ano i naciśnij Enter.
- Porównaj adresy, porty i numery PID z procesami widocznymi w Menedżerze zadań.
Kolumna „Local Address” pokazuje lokalny adres i port, „Foreign Address” – drugi koniec połączenia, a „PID” – identyfikator procesu. Sam adres internetowy nie jest dowodem zagrożenia, ponieważ system i legalne aplikacje stale łączą się z serwerami. Więcej uwagi wymaga połączenie, które utrzymuje nieznany proces uruchomiony z nietypowej lokalizacji, na przykład z katalogu tymczasowego lub profilu użytkownika.
Jeżeli potrzebujesz wygodniejszego podglądu, można wykorzystać narzędzie graficzne do analizy ruchu, ale pobieraj je wyłącznie z zaufanego źródła. Dodatkowa aplikacja diagnostyczna nie zastępuje analizy procesu, jego lokalizacji i podpisu cyfrowego.
Sesje użytkowników i zdalny pulpit
W Windows naciśnij Ctrl + Shift + Esc, aby otworzyć Menedżera zadań, a następnie przejdź do zakładki „Użytkownicy”. Nieznana sesja lub aktywność w czasie, gdy komputer nie był używany, wymaga wyjaśnienia. Sprawdź też ścieżkę „Ustawienia” → „Konta”, aby upewnić się, że nie dodano nowego użytkownika lub administratora.
Przejdź do „Ustawienia” → „System” → „Pulpit zdalny”. Jeśli nie korzystasz z tej funkcji, wyłącz ją. Sprawdź również, którzy użytkownicy mają prawo do łączenia się przez Remote Desktop. Na komputerze służbowym skonsultuj tę zmianę z administratorem, ponieważ zdalny pulpit może być elementem firmowej administracji.
Logi w Podglądzie zdarzeń
Windows zapisuje informacje o logowaniach w Podglądzie zdarzeń. Otwórz go przez menu Start albo naciśnij Win + R, wpisz eventvwr.msc i zatwierdź. Następnie przejdź do „Dzienniki systemu Windows” → „Zabezpieczenia”.
W logach szukaj zdarzeń logowania w nietypowych godzinach, z nieznanym kontem lub z konfiguracją, której nie rozpoznajesz. Znaczenie mają również typy logowania:
- Otwórz dziennik „Zabezpieczenia” i wybierz „Filtruj bieżący dziennik”.
- W polu identyfikatorów zdarzeń wpisz między innymi 4624 dla udanych logowań i 4625 dla nieudanych prób.
- Sprawdź konto, czas, źródło oraz typ logowania w szczegółach zdarzenia.
- Typ 3 zwykle oznacza logowanie sieciowe, a typ 10 wskazuje na sesję przez Remote Desktop.
Interpretuj logi w kontekście. Typ 3 może pochodzić z udostępnionego zasobu, drukarki, usługi lub innego urządzenia w sieci. Typ 10 jest sygnałem do sprawdzenia RDP, ale pojedynczy wpis nie potwierdza włamania. Interfejs i zakres rejestrowanych danych mogą różnić się między Windows 10 i Windows 11.
Jak sprawdzić programy, usługi i autostart?
Nieznany program nie musi być malware, ale jego obecność trzeba wyjaśnić. Sprawdź „Ustawienia” → „Aplikacje” → „Zainstalowane aplikacje”, a następnie Menedżer zadań → „Aplikacje uruchamiane przy starcie”. Zwróć uwagę na datę instalacji, wydawcę, lokalizację pliku i to, czy aplikacja uruchamia się automatycznie.
Szukaj przede wszystkim następujących elementów:
- AnyDesk, TeamViewer, Chrome Remote Desktop, RustDesk, VNC lub innych narzędzi zdalnych,
- nieznanych usług działających w tle,
- zadań w Harmonogramie zadań uruchamianych przy starcie albo logowaniu,
- programów bez wydawcy lub z plikiem zapisanym w nietypowym katalogu,
- nowych rozszerzeń przeglądarki z dostępem do wszystkich odwiedzanych stron,
- aplikacji, które wyłączają zabezpieczenia albo utrudniają aktualizacje.
Nie usuwaj pochopnie pliku systemowego tylko dlatego, że ma niezrozumiałą nazwę. Sprawdź jego lokalizację, właściwości, podpis cyfrowy i powiązany proces. Jeśli program jest legalny, ale został skonfigurowany bez twojej wiedzy, najpierw zapisz informacje o jego ustawieniach i historii połączeń, a dopiero potem go wyłącz lub odinstaluj.
W macOS sprawdź „Ustawienia systemowe” → „Prywatność i bezpieczeństwo”. Szczególnej uwagi wymagają aplikacje z dostępem do nagrywania ekranu, funkcji dostępności, pełnego dostępu do dysku, mikrofonu i kamery. Przejrzyj również elementy logowania, profile konfiguracyjne oraz ustawienia udostępniania ekranu i zdalnego zarządzania. W firmowym Macu część tych mechanizmów może być legalnym elementem administracji.
Czy problem może dotyczyć konta, a nie komputera?
Dostęp do komputera nie zawsze oznacza zainstalowanie wirusa. Ktoś może przejąć konto Google, Microsoft lub Apple i uzyskać dostęp do poczty, plików, zdjęć, historii przeglądania, zapisanych haseł albo synchronizowanych dokumentów bez sterowania laptopem.
Nie zmieniaj najważniejszych haseł z podejrzanego komputera. Jeśli działa keylogger, RAT albo podgląd ekranu, nowe dane mogą zostać przechwycone. Użyj innego, zaufanego urządzenia i sprawdź:
- ostatnie logowania oraz nieznane adresy IP lub urządzenia,
- aktywne sesje i urządzenia zaufane,
- aplikacje oraz usługi mające dostęp do konta,
- adresy e-mail i numery telefonu służące do odzyskiwania dostępu,
- reguły automatycznego przekazywania poczty i nieznane filtry,
- synchronizację przeglądarki, zapisane hasła i aktywne profile.
Wyloguj nieznane sesje, usuń niepotrzebne zgody aplikacji, zmień hasło i włącz 2FA, czyli uwierzytelnianie dwuskładnikowe. Pamiętaj też o rozszerzeniach przeglądarki. Dodatek z szerokimi uprawnieniami może odczytywać lub zmieniać dane na odwiedzanych stronach, nawet jeśli na komputerze nie ma klasycznego programu zdalnego dostępu.
Brak alertu antywirusa nie wyklucza nieautoryzowanego dostępu. Legalne narzędzie zdalne, przejęte konto, rozszerzenie przeglądarki albo nietypowo wykorzystany składnik systemu mogą pozostać niewykryte przez standardowe skanowanie.
Co zrobić po potwierdzeniu zagrożenia?
Jeśli znajdziesz nieznaną sesję, narzędzie zdalne, podejrzane logowanie lub złośliwy program, działaj w tej kolejności:
- Odłącz sieć – wyłącz Wi-Fi albo odłącz Ethernet, aby przerwać możliwą sesję.
- Zabezpiecz konta z innego urządzenia – zacznij od poczty, konta Google, Microsoft lub Apple, bankowości i menedżera haseł.
- Wyloguj wszystkie obce sesje – usuń nieznane urządzenia i aplikacje mające dostęp do kont.
- Wykonaj pełne skanowanie – użyj aktualnego narzędzia bezpieczeństwa, a nie tylko szybkiego skanowania.
- Sprawdź bank i ważne usługi – jeśli na komputerze używano bankowości, płatności lub danych firmowych, skontaktuj się z odpowiednią instytucją.
- Zachowaj ślady – przed resetem zapisz logi, nazwy procesów, adresy, godziny i zrzuty konfiguracji.
Pełne skanowanie jest potrzebne, ale nie rozwiązuje każdego problemu. Antywirus może nie zablokować legalnego programu wykorzystanego do nieuprawnionego dostępu, przejętej sesji przeglądarki ani konta w chmurze. Jeśli objawy pozostają, nie instaluj kilku programów ochronnych naraz. Taki zestaw może powodować konflikty i utrudnić diagnozę.
Reinstalacja systemu może usunąć wiele rodzajów malware, ale nie naprawi przejętego konta, zainfekowanej przeglądarki na innym urządzeniu ani problemu z routerem. Szybki reset może też zniszczyć dowody. W przypadku ransomware, podejrzenia wycieku danych firmowych lub dostępu do bankowości najpierw skonsultuj działania ze specjalistą.
Kiedy potrzebna jest pomoc specjalisty?
Skontaktuj się z serwisem lub specjalistą do spraw bezpieczeństwa, gdy nie potrafisz wyjaśnić aktywności w logach, podejrzane programy wracają po usunięciu, zabezpieczenia są samoczynnie wyłączane albo komputer nadal działa nietypowo mimo skanowania. Profesjonalna analiza może obejmować system, konta, przeglądarkę, telefon, router i inne urządzenia.
Szczególnej ostrożności wymagają komputery firmowe i sytuacje, w których mogły zostać ujawnione dane klientów, dokumenty, hasła lub informacje finansowe. Nie kasuj wtedy chaotycznie logów i nie formatuj urządzenia przed ustaleniem, czy potrzebne jest zachowanie materiału do dalszej analizy.
Najbezpieczniejsza kolejność jest prosta: odłącz sieć, sprawdź sesje, autostart, usługi i logi, przeanalizuj konta chmurowe, a hasła zmień z zaufanego urządzenia. Jeśli po tej kontroli nadal nie masz pewności, profesjonalna analiza będzie rozsądniejsza niż dalsze zgadywanie.
Artykuł ma charakter informacyjny i nie zastępuje indywidualnej analizy bezpieczeństwa. W przypadku podejrzenia wycieku danych finansowych, firmowych lub osobowych skontaktuj się z bankiem, administratorem systemu albo specjalistą ds. cyberbezpieczeństwa.
