Antivirus hlásí virus: co dělat hned a jak poznat falešný poplach

Uprostřed práce vyskočí okno: „Byla nalezena hrozba.” Antivirus hlásí soubor, o kterém jste v životě neslyšeli — nebo naopak program, který sami roky používáte. První reakce bývá jedna ze dvou: panika a mazání všeho, co se hýbe, nebo otrávené kliknutí na „povolit”, ať to nezdržuje. Obě jsou špatně a obě umí nadělat víc škody než samotný nález.

Tenhle článek je o vyhodnocení poplachu: jak zjistit, jestli antivirus zachytil skutečnou hrozbu, nebo se spletl, a podle čeho se rozhodnout. Samotné čištění počítače tu neřešíme — na to odkazujeme níže, až budete vědět, že ho opravdu potřebujete.

Odpověď hned: Když antivirus dal nález do karantény, hrozba je zablokovaná a nic akutního se neděje. Nevypínejte ochranu, nemažte nic navíc a neklikejte na „obnovit”. Vyfoťte nebo opište přesný název detekce a cestu k souboru, nechte soubor v karanténě a v klidu ověřte, o co jde — podle názvu detekce, podle toho, odkud se soubor vzal, a případně druhým názorem přes VirusTotal. Teprve podle výsledku se rozhodněte, co dál.

Co vám hlášení vlastně říká

Každé hlášení antiviru nese tři informace a všechny tři se hodí, než začnete cokoliv dělat:

• Název detekce — třeba Trojan:Win32/Wacatac.B!ml nebo PUA:Win32/Presenoker. Není to náhodný kód, dá se z něj vyčíst, jak vážně to výrobce myslí.
• Soubor a cesta — co přesně a kde antivirus našel. Rozdíl mezi vaším skriptem ve složce projektu a náhodně pojmenovaným .exe v AppData\Local\Temp je zásadní.
• Provedená akce — zablokováno při stahování, přesunuto do karantény, nebo odstraněno. Blokace při stahování znamená, že se soubor ke spuštění vůbec nedostal. Nález při naplánované kontrole naopak znamená, že soubor už na disku nějakou dobu ležel.

U Microsoft Defenderu všechny tři údaje najdete v Zabezpečení Windows → Ochrana před viry a hrozbami → Historie ochrany. Placené antiviry mají obdobný protokol událostí a sekci Karanténa.

Karanténa: soubor je zamčený, ne pryč

Karanténa je izolovaná schránka. Soubor v ní nejde spustit, neškodí a zároveň není smazaný — antivirus ho umí kdykoliv vrátit na původní místo, nebo definitivně odstranit.

To je důležité pochopit, protože to bere tlak z celé situace. Nemusíte nic řešit v příštích třiceti sekundách. Falešně pozitivní nález jde z karantény obnovit beze ztráty, skutečný malware v ní zůstane neškodný, dokud se nerozhodnete. Proto jsou obě rychlé reakce — okamžité smazání i okamžité obnovení — zbytečné. Karanténa vám kupuje čas na ověření. Využijte ho.

Krok 1: Přečtěte si název detekce

Názvy detekcí mají strukturu: kategorie, platforma, rodina, varianta a případně přípona. Z kategorie a přípony se dá odhadnout, jestli antivirus tvrdí „tohle je známý škodlivý kód”, nebo jen „tohle se mi nezdá”.

Přípona !ml znamená, že soubor označil model strojového učení, ne shoda s konkrétním známým virem. Generická detekce s Heur, Gen nebo !ml na čerstvě staženém nepodepsaném programu je typický kandidát na falešný poplach. Naopak jmenovitá rodina z kategorie Ransom nebo Backdoor nalezená v systémové složce je něco úplně jiného.

Krok 2: Kde soubor leží a odkud se vzal

Než sáhnete po jakémkoliv nástroji, odpovězte si na tři otázky:

1. Stahovali jste právě něco? Detekce vteřinu po stažení instalátoru z oficiálního webu výrobce má jiný kontext než nález, který se objevil sám od sebe v úterý ve tři ráno.
2. Znáte ten soubor? Vlastní skript, program z práce, nástroj, který používáte roky — to všechno umí heuristiku spustit. Soubor s náhodným názvem, o kterém nevíte nic, ne.
3. Sedí umístění? Instalátor ve složce Stažené je normální. Spustitelný soubor zahrabaný v AppData\Local\Temp, ve složce jiného uživatele nebo přímo v C:\Windows, aniž byste cokoliv instalovali, normální není.

Když všechny tři odpovědi mluví pro nevinné vysvětlení, pořád to není důkaz. Je to ale dobrý důvod pokračovat ověřením místo mazání.

Krok 3: Druhý názor přes VirusTotal — opatrně

VirusTotal prožene soubor desítkami antivirových enginů najednou a ukáže, kolik z nich a pod jakým názvem ho detekuje. Pro rozhodování „falešný poplach, nebo malware” je to nejužitečnější veřejný nástroj.

Má ale háček, o kterém se málo mluví: co na VirusTotal nahrajete, přestává být soukromé. Nahrané soubory se sdílejí s bezpečnostní komunitou a platící zákazníci služby si je mohou stáhnout a zkoumat. Smlouvu, fakturu, dokument s osobními údaji ani interní firemní nástroj tam proto nikdy nenahrávejte.

Řešení existuje: místo souboru pošlete jeho otisk. V PowerShellu spusťte:

Get-FileHash -Algorithm SHA256 "C:\cesta\k\souboru.exe"

Výsledný řetězec vložte do vyhledávání na VirusTotal. Hash obsah souboru neprozradí — a pokud soubor už někdy někdo kontroloval, uvidíte kompletní výsledky, aniž byste cokoliv odeslali. Teprve když otisk nikdo nezná a soubor není citlivý, má smysl zvážit nahrání.

Jak výsledek číst:

• Jeden až tři enginy z desítek, navíc s generickými názvy typu Gen nebo Heur — pravděpodobně falešný poplach heuristiky.
• Většina enginů, shodná rodina napříč výrobci — reálný, známý malware.
• Pozor na čerstvé soubory: úplně nový malware může mít zpočátku detekcí málo. Nízké skóre u souboru z podezřelého zdroje proto není rozhřešení — tam hraje původ větší roli než čísla.

Typické falešné poplachy

Některé situace vidíme v servisu opakovaně a stojí za to je znát.

Vlastní skripty a programy. Skript zabalený do .exe přes PyInstaller, makro v AutoHotkey, čerstvě zkompilovaný vlastní program. Nepodepsaný spustitelný soubor, který nikdo na světě nezná a který sahá na klávesnici nebo automatizuje okna — přesně tak se chová i spyware, takže ho heuristika označí. Nejčastější falešný poplach u vývojářů a pokročilých uživatelů vůbec.

Starší instalátory a utility. Instalátory z dob, kdy se k programům běžně přibalovaly lišty a „doporučené nabídky”, dnes dostávají nálepku PUA oprávněně — i když samotný program je neškodný. Zvláštní kapitola jsou nástroje na zobrazení uložených hesel nebo produktových klíčů: antiviry je detekují záměrně, protože tatáž utilita slouží majiteli počítače i útočníkovi. Detekce je „pravdivá”, ale nebezpečí záleží na tom, kdo nástroj spustil.

Keygeny a cracky. Tady jedno varování: u keygenů je „to je určitě falešný poplach” nejčastější omyl celé kategorie. Ano, antiviry označují generátory klíčů plošně jako HackTool. Jenže cracky jsou zároveň jedna z hlavních cest skutečné nákazy — autoři malwaru do nich škodlivý kód balí schválně, protože počítají s tím, že uživatel kvůli cracku ochranu vypne. Hlášení u cracku neověřujte s cílem crack povolit. Výsledek ověření je v téhle kategorii skoro vždycky horší, než doufáte.

Když poplach vůbec není od antiviru

Zvláštní kategorie „nálezu” nepochází z vašeho antiviru, ale z prohlížeče. Webová stránka nebo povolená notifikace se vydává za antivirus: „Váš počítač je napaden”, odpočítávání, blikající červená, výzva zavolat na telefonní číslo podpory nebo hned zaplatit licenci.

Poznávací znaky jsou spolehlivé: skutečný antivirus po vás nikdy nechce telefonát ani platbu kartou přes vyskakovací okno a jeho hlášení nezmizí zavřením prohlížeče. Rozhodující test: otevřete Historii ochrany svého antiviru. Když tam žádný záznam není, žádný nález neexistuje. Takové okno zavřete, v nastavení prohlížeče odeberte oprávnění webu posílat oznámení a nic neinstalujte ani nikam nevolejte.

Kdy hlášení brát vážně

Falešné poplachy jsou jednorázové. Skutečná nákaza má tendenci se projevovat opakovaně a ve vzorcích:

• Stejný nález se vrací — po odstranění, po restartu, druhý den znovu. Něco ho obnovuje.
• Nálezy v systémových cestách (C:\Windows, System32) nebo v profilech uživatelů, aniž byste cokoliv stahovali či instalovali.
• Kategorie Trojan, Backdoor nebo Ransom s konkrétní rodinou, potvrzená většinou enginů na VirusTotal.
• Antivirus se sám vypnul, nejde zapnout nebo z počítače zmizel. Malware, který se aktivně brání, není falešný poplach.
• Víc různých nálezů během krátké doby — typický obraz staženého „instalátoru”, který dotahuje další škodlivé komponenty.
• Nález v příloze e-mailu, kterou jste už otevřeli — blokace předem je dobrá zpráva, detekce po otevření znamená, že kód mohl stihnout běžet.
• Soubory dostávají nové přípony, nejdou otevřít, objevila se výkupná zpráva. To už není téma tohoto článku — okamžitě odpojte počítač od sítě, nepřipojujte zálohy a pokračujte podle krizového návodu Ransomware vám zašifroval data: co dělat krok za krokem.

Když se potvrdí skutečná nákaza bez známek šifrování, navazuje na tento článek postup Mám v počítači virus? Jak poznat nákazu a bezpečně ji odstranit — od úplné kontroly přes Defender Offline až po úklid prohlížeče a změnu hesel.

Co nedělat, i když hlášení otravuje

• Nevypínejte antivirus. Tohle je nejhorší možná reakce na otravné hlášení a zároveň přesně ta, se kterou autoři malwaru počítají. Vypnutá ochrana kvůli jednomu spornému souboru znamená žádná ochrana proti všemu ostatnímu. Co vestavěný Defender umí a proč se vyplatí nechat ho běžet, rozebíráme v článku Potřebuji ještě antivirus?.
• Nedávejte výjimku na celou složku nebo disk. Výjimka na C:\ nebo na Stažené je totéž co vypnutý antivirus, jen to tak nevypadá.
• Neobnovujte z karantény, jen abyste mohli pokračovat v práci. Obnovení patří až za ověření, ne před něj.
• Nemažte ručně soubory po disku podle návodů z diskuzí. U falešného poplachu smažete něco funkčního, u skutečné nákazy stejně nesmažete všechno.
• Nestahujte kvůli poplachu „silnější čistič” z reklamy. Vyskakovací okno slibující odvirování je klasická past.
• Neinstalujte druhý trvalý antivirus pro jistotu — dva rezidentní štíty se perou o soubory a spolehlivost snižují.

Potvrzený falešný poplach: jak ho uzavřít správně

Když ověření dopadne ve prospěch souboru — známý původ, smysluplné umístění, generická detekce, minimum enginů na VirusTotal — postupujte takhle:

1. Obnovte soubor z karantény.
2. Přidejte výjimku jen na konkrétní soubor nebo složku vašeho projektu, ne šířeji.
3. Nahlaste falešný poplach výrobci. Microsoft i ostatní výrobci mají formulář pro odeslání souboru k analýze; chybné detekce se opravují v aktualizacích definic. Až se to stane, výjimku zase zrušte — ať v nastavení nezůstává navěky.

U vlastních programů, které rozdáváte dál, pomáhá stabilní řešení: podepsání kódu certifikátem. Nepodepsané .exe bude heuristiky dráždit vždycky.

Kdy s nálezem přijít k nám

Někdy je poctivá odpověď „nevím” — název detekce je nejednoznačný, VirusTotal nerozhodl, nebo si prostě nejste jistí, jestli jste ověřili dost. To je legitimní chvíle nechat rozhodnutí na někom, kdo nálezy posuzuje denně. Pokud si s nálezem nevíte rady, objednejte se online — stačí do poznámky opsat název detekce z hlášení a my už budeme vědět, na co se dívat.

Do servisu v Brně má smysl počítač přinést hlavně v těchto situacích:

• nález se opakuje a nevíte proč,
• jde o firemní počítač, stroj s účetnictvím nebo přístupem do banky,
• antivirus nejde zapnout nebo se hlášení nedají otevřít,
• potřebujete jistotu, že po skutečném nálezu nic nezůstalo.

Co s tím uděláme: projdeme historii ochrany a kontext nálezů, ověříme sporné soubory podle otisků, zkontrolujeme autostart a naplánované úlohy, přidáme kontrolu nezávislým skenerem — a řekneme vám narovinu, jestli šlo o falešný poplach, nebo o nákazu. U falešného poplachu nastavíme výjimku tak, aby neotevírala zbytečnou díru; u nákazy se domluvíme na dalším postupu dřív, než se čehokoliv dotkneme.

Antivirus, který občas hlásí, dělá svou práci. Poplach je informace, ne rozsudek — a pár minut ověření vás skoro vždycky dovede k jednoznačné odpovědi.