Jak usunąć wirusa e-mailowego Invoice?

Czym jest wirus e-mailowy Invoice?

Wirus „Invoice Email" (znany również jako wirus „Outstanding Invoice Email") to kampania złośliwego spamu wykorzystywana do rozsyłania trojana wysokiego ryzyka o nazwie TrickBot. Ma ona wiele podobieństw z wieloma innymi kampaniami spamowymi, takimi jak (na przykład) eFax, Important Documents IRS i szczególnie HM Revenue & Customs Outstanding Amount.

Treść tych e-maili może się różnić, mimo że dostarczona wiadomość jest zasadniczo identyczna: użytkownik rzekomo otrzymał fakturę (za pośrednictwem załącznika MS Word) i musi zapłacić. Należy jednak pamiętać, że załączony plik jest złośliwy i przeznaczony do pobierania i instalowania malware TrickBot.

Szczegółowe informacje o wirusie e-mailowym Invoice

Jak wspomniano, wiadomości e-mail informują o braku płatności i zachęcają użytkowników do otworzenia załącznika MS Word, który zawiera fakturę. To oszustwo. Cyberprzestępcy próbują nakłonić naiwnych użytkowników do otwarcia złośliwego pliku, który infekuje system.

Tekst w e-mailach z kampanii wirusowej „Invoice Email" może się różnić, ponieważ cyberprzestępcy rejestrują różne domeny internetowe i adresy e-mail z nazwami legalnych firm i departamentów rządowych. Te adresy URL/adresy e-mail są następnie wykorzystywane do wysyłania spamu — łatwiej jest sprawiać wrażenie bycia uzasadnionymi, gdy nadawca jest znany użytkownikowi.

Należy pamiętać, że TrickBot to złośliwe oprogramowanie wysokiego ryzyka. Porywa przeglądarki internetowe i zbiera różne loginy/hasła. Zebrane dane są przesyłane na zdalny serwer kontrolowany przez cyberprzestępców. Osoby te mogą otrzymywać poufne informacje (np. przestępcy mogą uzyskać dostęp do sieci społecznościowych, kont bankowych itp.).

Obecność tego złośliwego oprogramowania może prowadzić do znacznych strat finansowych, a nawet kradzieży tożsamości. Dlatego śledzenie danych może prowadzić do poważnych problemów prywatności, a nawet kradzieży tożsamości.

Jeśli otworzyłeś e-maile/załączniki należące do kampanii spamowej wirusa „Invoice Email", powinieneś natychmiast przeskanować system za pomocą renomowanego oprogramowania antywirusowego/antyspyware i usunąć wszystkie wykryte zagrożenia.

Podobieństwa z innymi trojanami

TrickBot jest praktycznie identyczny z dziesiątkami innych wirusów trojańskich, takich jak Pony, Adwind, FormBook i wiele innych. Podobnie jak w przypadku TrickBot, wirusy te są również dystrybuowane za pomocą kampanii spamowych. Ponadto ich zachowanie jest również bardzo podobne – wszystkie zbierają dane.

Niektóre trojany są również przeznaczone do rozsyłania innych wirusów (zwykle ransomware). Dlatego te wirusy stanowią bezpośrednie zagrożenie dla twojej prywatności i bezpieczeństwa przeglądania internetu.

Jak wirus Invoice Email zainfekował mój komputer?

Wirus „Invoice Email" zawiera złośliwe załączniki MS Word, prezentowane jako faktury. Po otwarciu tych plików użytkownicy są proszeni o włączenie makropoleceń, w przeciwnym razie zawartość nie będzie wyświetlana poprawnie. Jednak robiąc to, użytkownicy udzielają załącznikom uprawnień do uruchamiania skryptów, które potajemnie pobierają/instalują złośliwe oprogramowanie.

Pamiętaj, że zadziała to tylko wtedy, gdy załącznik zostanie otwarty za pomocą programu MS Word. Jeśli plik zostanie otwarty przy użyciu innego oprogramowania zdolnego do odczytywania tych formatów, skrypty nie zostaną wykonane. Co więcej, malware atakuje tylko system operacyjny Windows, dzięki czemu użytkownicy korzystający z innych platform są bezpieczni.

Jak uniknąć instalacji malware?

Głównymi przyczynami infekcji komputerowych są słaba wiedza i nieostrożne zachowanie. Dlatego zwracaj szczególną uwagę podczas przeglądania internetu. Zastanów się dwa razy, zanim otworzysz załączniki do wiadomości e-mail. Jeśli plik wydaje się nieistotny lub został otrzymany z podejrzaną/nierozpoznawalną wiadomością e-mail, nigdy nie należy go otwierać — takie e-maile należy usuwać bez czytania.

Ponadto niektóre trojany są dystrybuowane przy użyciu metody „sprzedaży wiązanej" (podstępnej instalacji nieuczciwych aplikacji wraz ze zwykłym oprogramowaniem) oraz fałszywych aktualizacji. Dlatego należy zachować ostrożność podczas pobierania/instalowania/aktualizowania oprogramowania. Dokładnie przeanalizuj każde okno dialogowe pobierania/instalacji i zrezygnuj ze wszystkich dodatkowych programów.

Twoje programy powinny być pobierane wyłącznie z oficjalnych źródeł, korzystając z bezpośrednich linków do pobierania. Ponadto na bieżąco aktualizuj zainstalowane aplikacje. Aby to osiągnąć, korzystaj wyłącznie z wbudowanych funkcji lub narzędzi zapewnionych przez oficjalnego programistę. Zdecydowanie zalecamy również zainstalowanie i uruchomienie legalnego oprogramowania antywirusowego/antyspyware.

Nowsze wersje (2010 i nowsze) pakietu MS Office otwierają nowo pobrane pliki w „trybie chronionym", zapobiegając w ten sposób pobieraniu/instalowaniu złośliwego oprogramowania przez złośliwe załączniki. Dlatego zdecydowanie zaleca się unikanie używania starych wersji. Kluczem do bezpieczeństwa komputera jest ostrożność.

Jeśli już otworzyłeś złośliwy załącznik, zalecamy wykonanie skanowania za pomocą Combo Cleaner Antivirus dla Windows, aby automatycznie usunąć obecne malware.

Przykłady wiadomości prezentowanych w różnych wariantach tego złośliwego e-maila:

Subject: RE: Outstanding INVOICE BIA/066250/5423
The invoices came to us very late. Both are enclosed in attachement.
hxxp://www.perezdearceycia.cl/
alexa.ballantine@gmail.com

------------------------------------------------------

Subject: INCORRECT INVOICE
We are waiting for the confirmation from your side so that we can send you the Invoice & Credit card link to process the payment and start the services. If you have any queries, please feel free to contact us. We hope for a positive reply.
hxxp://cqfsbj.cn/
This message is confidential and/or contains legally privileged information. It is intended for the addressees only.
Jamacapq@sbcglobal.net

------------------------------------------------------

Subject: Outstanding INVOICE XOJR/7763411/6403
We have not received payment or an update on when the overdue invoices will be paid. Our payment terms are strictly 30 days. Please let me know when these invoices will be paid. Please see below the list of overdue invoices:
hxxp://minami.com.tw/
Regards
Priyanka Kapadia

------------------------------------------------------

Subject: Outstanding INVOICE FQOVN/2773110/730
Please see below the list of overdue invoices, of which 223.00 euro is due since last month. Can you please advise when payment will be made.
hxxp://www.legionofboomfireworks.com/
This message is confidential and/or contains legally privileged information. It is intended for the addressees only.
Thanks
Kira Holden

------------------------------------------------------

Subject: Invoice Number 55057
Last one year we started to charge for CRB check. They pay us first and we apply for CRB. =0DI do not have invoices.
hxxp://www.caglarturizm.com.tr/
Kind Regards,
andy

------------------------------------------------------

Subject: Final Account
Please find attached your confirmation documents. What you need to do Urgently Print off, sign and scan/send back the full proposal form within 7 days
hxxp://www.jxprint.ru/
Many Thanks
CYNTHIA HARRY

Złośliwy załącznik dystrybuowany za pośrednictwem kampanii „Faktura e-mail SPAM":

Przykład kolejnego e-maila spamowego o tematyce faktury, dostarczanego w języku portugalskim:

Prezentowany w nim tekst:

Subject: Estimado Cliente Pingo Doce - Segue em anexo a sua Fatura Eletronica. - ( 685809856280 )

Prezado (a) atendimento@pcrisk.pt ,

Segue em anexo a sua Fatura Eletronica.

Anexo: NFe-311502664715151006891154.PDF

Envio automatico, Favor nao Responder
Atenciosamente,
DPC Pingo Doce
Lisboa, Portugal 21 380 8520

Este email foi escaneado pelo Avast antivirus.
www.avast.com

16/09/2020 09:41:16

Kolejna wiadomość spamowa o tematyce faktury, wykorzystywana do rozsyłania złośliwego dokumentu MS Excel:

Prezentowany w niej tekst:

Subject: Invoice 523389

Invoice Due:11/02/2020
523389 Amount Due: $1,860.00

Dear Customer:

Your PAST DUE invoice is attached. Please remit payment at your earliest convenience

Thank you for your business - we appreciate it very much.

Sincerely,
Accounts Payable

Zrzut ekranu załączonego złośliwego dokumentu MS Excel:

Przykład kolejnej wiadomości spamowej o tematyce faktury, wykorzystywanej do rozsyłania złośliwego dokumentu MS Excel, który wprowadza do systemu malware Dridex:

Prezentowany w niej tekst:

Subject: Electronic Invoice (#00332731)

Per your request, here is the invoice you have asked to be sent via email. If you have any questions, please feel free to call us at 800-485-1863

Zrzut ekranu załączonego dokumentu MS Excel:

Kolejna wiadomość spamowa o tematyce faktury, wykorzystywana do rozsyłania szkodliwego pliku .IMG (zawarte w niej linki prowadzą do pobrania tego pliku):

Tekst prezentowany w ramach:

Subject: INV-209734564

Good Day

Please see attached Invoice.

For any other concern, please inform me.

Thanks.
Best Regards,

Ellen Maralit
Procurement Specialist
Sodexo On-Site Services, Inc.
Tel: (2) 499-4356
Mobile: 9167781908

pdf.gif Invoice .pdf
194K View as HTML Scan and download

Disclaimer and Confidentiality
This e-mail, attachments included, is confidential. It is intended solely for the addressees. If you are not an intended recipient, any use, copy or diffusion, even partial of this message is prohibited. Please delete it and notify the sender immediately. Since the integrity of this message cannot be guaranteed on the Internet, SODEXO cannot therefore be considered liable for its content.Ce message, pieces jointes incluses, est confidentiel. Il est etabli a l'attention exclusive de ses destinataires. Si vous n'etes pas un destinataire, toute utilisation, copie ou diffusion, meme partielle de ce message est interdite. Merci de le detruire et d'en avertir immediatement l'expediteur. L'integrite de ce message ne pouvant etre garantie sur Internet, SODEXO ne peut etre tenu responsable de son contenu.
Please consider the environment before printing this message.

Avast logo
This email has been checked for viruses by Avast antivirus software.
www.avast.com

Kolejna wiadomość spamowa o tematyce faktury, wykorzystywana do rozsyłania złośliwego dokumentu MS Excel, który wprowadza do systemu malware Dridex:

Prezentowany w niej tekst:

Subject: Invoice 093090

Invoice
Due:12/2/2020
093090
Amount Due: $1,940.00
Dear Customer:

Your invoice-093090 for $1,940.00 is attached.
We accept cash, check or ACH transfer per this invoice with INTUIT.
If you wish to pay by credit card, please contact our office.
A processing fee of 3.5% will be added to this invoice amount. Please remit payment at your earliest convenience.

Thank you for your business - we appreciate it very much.

Sincerely,

HEAD Office
919-36-0288

Zrzut ekranu załączonego dokumentu MS Excel:

Jeszcze inny wariant wiadomości spamowej o tematyce faktury:

Prezentowany w niej tekst:

Subject: Invoice 9170

Invoice Due:01/12/2021
9170
Amount Due: $1,440.00
Dear Customer:

Your invoice is attached. Please remit payment at your earliest convenience.

There is a 3% credit/debit card processing fee for all transactions.
If wanting to pay by credit/debit card, please respond to this email or call our office and we will forward a link for on-line processing.

Thank you for your business - we appreciate it very much.

808-245-4405
View & Pay Invoice

Hiszpański wariant wiadomości spamowej o tematyce faktury promującej witrynę phishingową:

Prezentowany w niej tekst:

Subject: Factura

Estimado cliente,

Buen dí­a
Se adjunta una factura. N -

Descargar Factura
Gracias por su preferencia.
Saludos cordiales.

Jeszcze inny przykład wiadomości spamowej o tematyce faktur, wykorzystywanej do rozprzestrzeniania złośliwego oprogramowania:

Tekst prezentowany w ramach:

Subject: Reminder about Unpaid invoice LL015445

Good day,

Please find attached invoice LL015445.

According to our data, the above mentioned invoice is still unpaid.

Please let us know when the payment will be done.

AMITH BALRAM

ON BEHALF OF,

Announcement : This is to inform all our customers and partners that COVID-19 global pandemic situation has created severe disruptions in Airlines and Shipping Lines schedules, services and availability of space for timely loading. Please note that these disruptions can cause delay / cancellation of our planned schedule of shipment leading to additional cost being incurred on the shipment being charged by Airlines / Shipping Lines on case to case basis. Therefore, all our quotations shall be subject to variance due to these factors. We request your understanding and co-operation.

Thanks & Regards,

Jovita Vas

Inside Sales-Importsales

jovita.vas@glweststardubai.com
+971 4 3974400
+971 43974666
+971 4 6098530

www.glweststardubai.com

11th Floor, Fahidi Heights, Khalid Bin Al Waleed Street, Bur Dubai, PO. BOx 6027, Dubai, United Arab Emirates

All our business activities and business transactions are undertaken in accordance with the NAFL Standard Trading Conditions. The duties, responsibilities and liabilities of the company are subject to the provisions of the NAFL Standard Trading Conditions. A copy of NAFL Standard Trading Conditions can be furnished upon request.

This message contains confidential and/or privileged information. If you are not the intended addressee or authorized to receive this for the intended addressee, you must not use, copy, disclose or take any action based on this message or any information herein. If you have received this message in error, please advise the sender immediately by reply e-mail and delete this message. Thank you for your cooperation.

Jeszcze inny przykład spamu o tematyce faktury promującego witrynę phishingową:

Prezentowany w nim tekst:

Subject: File "******** /Overdue Invoices- MARCH-JUNE21.pdf" has been shared with you on 7/22/2021 5:35:18 a.m.

A file has been shared with ********

forlogs.icu Q2 Overdue Invoices - JUNE21.pdf
******** Q2 Overdue Invoices - JUNE21.pdf
This link will work only for boss1
Open
Privacy Statement

Zrzut ekranu promowanej strony phishingowej:

Jeszcze inny przykład wiadomości spamowej o tematyce faktury, rozpowszechniającej złośliwy dokument MS PowerPoint:

Prezentowany w niej tekst:

Subject: Re: Review Kindly

Good Day.

Please confirm the invoice of the ordered products before we initiate the transfer as attached.

Also, we request you to send us your best price for the items on the attached file with data sheets.

Please indicate the below information as well.
1. Delivery Period
2. Warranty
3. Payment Terms

Awaiting your immediate response in this regard.

Yours sincerely,

Mark Henry

Petro-Canada Lubricants Inc.
2310 Lakeshore Road West
Mississauga, Ontario, L5J 1K2
Canada.

Jeszcze inny przykład wiadomości spamowej o tematyce faktury, rozprzestrzeniającej złośliwy dokument MS Excel:

Prezentowany w niej tekst:

Subject: Invoice/Sales Receipt

Your sales receipt is attached. Your credit card on file has been charged.

Thank you for your business - we appreciate it very much.

Sincerely,

------------------------- Sales Receipt Summary ---------------------------
Receipt # : 4479
Receipt Date: 10/13/2021
Total: $3,442.00

The complete version has been provided as an attachment to this email.
----------------------------------------------------------------------

Zrzut ekranu rozsyłanego złośliwego dokumentu MS Excel:

Jak ręcznie usunąć malware?

Większość infekcji trojanami możesz usunąć, przeprowadzając pełne skanowanie systemu za pomocą Combo Cleaner. Opisana poniżej pełna procedura ręczna przyda ci się, gdy automatyczne usuwanie się nie powiodło, gdy chcesz sprawdzić, czy skanowanie wykryło wszystko, lub gdy zagrożenie ma wiele punktów persystencji.

Narzędzia, których potrzebujesz

Combo Cleaner Antivirus 7-dniowy bezpłatny okres próbny

Zalecany główny skaner. Certyfikat VB100. Dostępny jest 7-dniowy bezpłatny okres próbny.

Microsoft Defender Offline Bezpłatne · wbudowane

Wbudowany w Windows. Uruchamia się w czystym środowisku, aby wykryć rootkity.

Process Explorer Bezpłatne

Z pakietu Microsoft Sysinternals. Lepszy niż Menedżer zadań - pokazuje pełne ścieżki i podpisy.

Autoruns Bezpłatne

Z pakietu Microsoft Sysinternals. Wyświetla wszystkie miejsca w twoim systemie, w których malware może się utrwalić.

Microsoft Safety Scanner (MSERT) Bezpłatne

Oficjalny skaner Microsoft uruchamiany na żądanie. Zawsze aktualne sygnatury - wygasa po 10 dniach.

Faza 1~ 5 min

Powstrzymaj infekcję - ogranicz szkody

---

1

Odłącz komputer od sieci

30 sBez narzędzi

Odłącz kabel Ethernet i wyłącz Wi-Fi. Jeśli korzystasz z laptopa, najszybciej zadziała klawisz trybu samolotowego.

Dlaczego to ważne

Wiele trojanów wykrada dane - hasła zapisane w przeglądarce, sesje bankowe, zrzuty ekranu - i przyjmuje zdalne polecenia. Odcięcie sieci natychmiast zatrzymuje jedno i drugie. Nie podłączaj komputera do sieci aż do fazy 4.

2

Uruchom komputer w trybie awaryjnym z obsługą sieci

3 min

Tryb awaryjny wczytuje minimalny zestaw sterowników i uniemożliwia automatyczne uruchomienie się większości malware. Wariant „z obsługą sieci” pozwala pobrać narzędzia - Wi-Fi włącz ponownie dopiero po uruchomieniu systemu w tym trybie.

Windows 11

Otwórz Ustawienia → System → Odzyskiwanie. Kliknij Uruchom ponownie teraz obok opcji Uruchamianie zaawansowane.

Komputer uruchomi się ponownie w menu „Wybierz opcję”. Kliknij Rozwiązywanie problemów → Opcje zaawansowane → Ustawienia uruchamiania → Uruchom ponownie. Po drugim ponownym uruchomieniu naciśnij 5 lub F5.

Windows 10

Kliknij logo Windows, przytrzymaj Shift, kliknij ikonę zasilania i wybierz Uruchom ponownie. Na ekranie Wybierz opcję kliknij Rozwiązywanie problemów → Opcje zaawansowane → Ustawienia uruchamiania → Uruchom ponownie. Naciśnij F5.

Windows 8

Przejdź do ekranu startowego, wpisz zaawansowane, wybierz Ustawienia → Zaawansowane opcje uruchamiania → Uruchom ponownie teraz → Rozwiązywanie problemów → Opcje zaawansowane → Ustawienia uruchamiania → Uruchom ponownie → F5.

Uwaga: wsparcie dla Windows 8 zakończyło się w styczniu 2023 roku - korzystając z tego systemu, narażasz się na znacznie większe ryzyko ponownej infekcji.

Windows 7

Kliknij Start → Zamknij → Uruchom ponownie → OK. Podczas uruchamiania systemu wielokrotnie naciskaj F8, aż pojawi się menu Zaawansowane opcje rozruchu, a następnie wybierz Tryb awaryjny z obsługą sieci.

Uwaga: wsparcie dla Windows 7 zakończyło się w styczniu 2020 roku - korzystając z tego systemu, narażasz się na znacznie większe ryzyko ponownej infekcji.

Faza 2~ 15 min

Zidentyfikuj - wykryj ukryte zagrożenia

---

3

Sprawdź uruchomione procesy za pomocą Process Explorer

Narzędzie: Process Explorer5 min

Pobierz Process Explorer z pakietu Microsoft Sysinternals. Uruchom go jako administrator. Kliknij Options → Verify Image Signatures oraz View → Lower Pane View → DLLs.

Posortuj listę według kolumny „Verified Signer”. Każdy niepodpisany proces uruchomiony z %AppData%, %LocalAppData%, %Temp% lub %ProgramData% jest podejrzany. Kliknij prawym przyciskiem → Properties, aby zobaczyć pełną ścieżkę pliku. Kliknij prawym przyciskiem → „Search Online”, aby sprawdzić nieznane nazwy procesów.

Dlaczego nie Menedżer zadań

Menedżer zadań ukrywa pełne ścieżki plików, nie pokazuje podpisów cyfrowych i grupuje procesy w sposób, który ułatwia przeoczenie malware. Process Explorer to narzędzie, z którego korzystają sami inżynierowie Microsoft.

4

Zmapuj wszystkie punkty persystencji za pomocą Autoruns

Narzędzie: Autoruns 14.x10 min

Pobierz Autoruns. Kliknij prawym przyciskiem Autoruns.exe i wybierz Uruchom jako administrator - bez podniesionych uprawnień Autoruns nie może sprawdzić chronionych gałęzi rejestru.

W menu włącz Options → Hide Microsoft Entries i Options → Hide Empty Locations, a następnie kliknij Refresh.

Nowoczesne trojany nie ukrywają się wyłącznie w autostarcie. Przejrzyj poniższe karty i szukaj niepodpisanych lub nieznanych wpisów:

• Logon - klasyczne klucze Run/RunOnce
• Scheduled Tasks - częsta kryjówka, zwłaszcza zadania wykonujące akcje PowerShell, MSHTA lub rundll32
• Services - niepodpisane usługi w folderach innych niż foldery Microsoft
• WMI - subskrypcje zdarzeń to dyskretny mechanizm persystencji (MITRE T1546.003)
• Image Hijacks - nadużycie opcji „Debugger” w Image File Execution Options
• AppInit - biblioteki DLL wczytywane do każdego procesu z interfejsem graficznym
• Browser plug-ins - niepodpisane dodatki we wszystkich zainstalowanych przeglądarkach

Wskazówka

Kliknij prawym przyciskiem podejrzany wpis → „Jump to Image”, aby zobaczyć właściwy plik. Kliknij prawym przyciskiem → „Search Online”, aby otworzyć VirusTotal dla skrótu pliku. Na razie niczego nie usuwaj - zanotuj tylko ścieżki plików i nazwy wpisów. Usuniemy je po skanowaniu.

5

Sprawdź plik hosts i ustawienia DNS

3 minWbudowane w Windows

Trojany często przekierowują domeny banków, producentów antywirusów i serwerów aktualizacji na serwery kontrolowane przez atakującego, modyfikując plik hosts lub ustawienia DNS.

Plik hosts: Otwórz Notatnik jako administrator, a następnie otwórz plik C:\Windows\System32\drivers\etc\hosts. Legalne wpisy są oznaczone jako komentarz znakiem #. Każde niezakomentowane przypisanie adresu IP do domeny jest podejrzane - zwłaszcza przekierowania dla microsoft.com, windowsupdate lub domeny twojego banku.

Ustawienia DNS: Otwórz Wiersz polecenia jako administrator i wykonaj polecenie ipconfig /all. Upewnij się, że serwery DNS wskazują na twojego dostawcę internetu, twój router lub znany publiczny resolver (Cloudflare 1.1.1.1, Google 8.8.8.8). Następnie otwórz Ustawienia → Sieć i Internet → [twoja karta sieciowa] → Przypisanie serwera DNS i sprawdź, czy ustawienia DNS oraz DNS over HTTPS (DoH) nie zostały przejęte.

Dlaczego to ważne

Oczyszczony komputer z przejętym DNS nadal jest zagrożonym komputerem. Będzie ci się wydawać, że odwiedzasz chase.com, a w rzeczywistości trafisz na klon przygotowany przez atakującego.

Faza 3~ 60-90 min

Usuń - trzy skanowania, jedno czyszczenie

---

Żaden pojedynczy antywirus nie wykrywa wszystkiego. Poniższa kolejność jest celowa: najpierw skanowanie offline (wykrywa rootkity, zanim system Windows w pełni się wczyta), następnie skanery na żądanie w działającym systemie, a na końcu ręczne usunięcie tego, co zostało przez nie pominięte.

6

Uruchom Microsoft Defender Offline

Narzędzie: wbudowane w Windows15 min

Uruchom ponownie komputer w zwykłym trybie Windows. Otwórz Zabezpieczenia Windows → Ochrona przed wirusami i zagrożeniami → Opcje skanowania. Wybierz Program antywirusowy Microsoft Defender (skanowanie offline) i kliknij Skanuj teraz. Twój komputer uruchomi się ponownie w okrojonym środowisku i przeprowadzi skanowanie, zanim wczyta się pełny system operacyjny.

Dlaczego w pierwszej kolejności

Rootkity i bootkity ukrywają się przed każdym skanerem uruchomionym w tej samej, już zainfekowanej sesji Windows. Skanowanie offline przed rozruchem systemu analizuje dysk, zanim malware zdąży się ukryć.

Zalecany antywirus

Combo Cleaner

Certyfikat VB100. Łączy w jednym przebiegu ochronę przed trojanami, skanowanie rejestru i mechanizmów persystencji oraz ochronę przed oprogramowaniem szpiegującym. Dostępny jest 7-dniowy bezpłatny okres próbny.

Pobierz Combo Cleaner

7

Przeprowadź pełne skanowanie systemu za pomocą Combo Cleaner

Narzędzie: Combo Cleaner20-40 min

Zainstaluj Combo Cleaner i przeprowadź pełne skanowanie systemu (nie szybkie skanowanie). Poczekaj na jego pełne zakończenie, przejrzyj wykryte zagrożenia i zastosuj zalecane działania. Combo Cleaner poddaje kwarantannie znane trojany i usuwa ich wpisy persystencji w rejestrze.

8

Przeprowadź skanowanie kontrolne za pomocą Microsoft Safety Scanner

Narzędzie: Microsoft Safety Scanner15 min

Pobierz Microsoft Safety Scanner (MSERT.exe) - bezpłatne narzędzie Microsoft uruchamiane na żądanie. Plik wykonywalny wygasa po 10 dniach, dzięki czemu każda pobrana kopia zawiera najnowsze sygnatury. Przeprowadź pełne skanowanie po Combo Cleaner, aby wychwycić to, co mógłby przeoczyć pojedynczy silnik.

Dlaczego drugie skanowanie

Różne silniki skanujące wykrywają różne zagrożenia. Dodatkowe skanowanie narzędziem Microsoft po Combo Cleaner to zdecydowanie najrzadziej wykorzystywany krok weryfikacyjny przy usuwaniu malware.

9

Ręcznie usuń wpisy, które nadal widnieją w Autoruns

Narzędzie: Autoruns10 min

Ponownie otwórz Autoruns. Każdy element oznaczony w kroku 4, który nadal istnieje, umknął automatycznym skanowaniom. Dla każdego pozostałego podejrzanego wpisu: kliknij prawym przyciskiem → Delete w Autoruns (usuwa to rejestrację persystencji), a następnie przejdź do ścieżki pliku i usuń sam plik. Opróżnij Kosz.

Ważne

Niektóre pliki malware pojawiają się ponownie po usunięciu, ponieważ odtwarza je inny element w systemie. Jeśli usuniesz plik, a on wróci w ciągu kilku minut, w systemie pozostał punkt persystencji, którego Autoruns nie pokazał - zwykle jest to usługa lub zaplanowane zadanie działające z uprawnieniami SYSTEM. Ponownie przeprowadź skanowanie z kroków 6-8 lub przejdź do czystej instalacji (patrz koniec poradnika).

Faza 4~ 15 min

Odzyskaj - przywróć przeglądarki i zabezpieczenia

---

10

Zresetuj przeglądarki i wyczyść uprawnienia do powiadomień

5 min

Trojany i adware często przejmują przeglądarki - zmieniają domyślną wyszukiwarkę, instalują złośliwe rozszerzenia lub nadają sobie uprawnienia do powiadomień, aby wyświetlać oszukańcze wyskakujące okienka nawet po usunięciu malware.

• Chrome: otwórz chrome://settings/reset i kliknij „Przywróć ustawienia do wartości domyślnych”. Następnie otwórz chrome://settings/content/notifications i usuń wszystkie nieznane witryny.
• Edge: otwórz edge://settings/reset. Następnie sprawdź edge://settings/content/notifications.
• Firefox: otwórz about:support i kliknij Odśwież program Firefox (Firefox nie ma przycisku „Resetuj” - odpowiednikiem jest „Odśwież”). Następnie sprawdź Ustawienia → Prywatność i bezpieczeństwo → Uprawnienia → Powiadomienia.

Przejrzyj rozszerzenia zainstalowane w każdej przeglądarce i usuń wszystkie nieznane, zwłaszcza te, których nie instalowałeś samodzielnie.

11

Ponownie włącz program Defender i ochronę przed naruszeniami oraz zaktualizuj wszystko

10 min

Wiele trojanów wyłącza oprogramowanie zabezpieczające. Otwórz Zabezpieczenia Windows → Ochrona przed wirusami i zagrożeniami → Zarządzaj ustawieniami i upewnij się, że opcje Ochrona w czasie rzeczywistym, Ochrona dostarczana z chmury i Ochrona przed naruszeniami są włączone. Ochrona przed naruszeniami uniemożliwia malware potajemne wyłączenie programu Defender.

Następnie uruchom Windows Update (Ustawienia → Windows Update → Sprawdź dostępność aktualizacji) i zaktualizuj przeglądarki oraz aplikacje. Trojan zwykle dostaje się do systemu przez nieaktualne oprogramowanie.

Faza 5~ 15 min + 7 dni

Zweryfikuj i zabezpiecz

---

12

Zmień hasła z czystego urządzenia

20 min⚠ Krytyczne

Jeśli trojan był stealerem (Lumma, RedLine, Vidar i podobne są niezwykle powszechne), załóż, że każde hasło zapisane w twojej przeglądarce zostało przejęte. Zmieniaj hasła z innego, sprawdzonego i czystego urządzenia - twój telefon się nada, o ile nie jest zainfekowany.

Zalecana kolejność:

1. Główna skrzynka e-mail w pierwszej kolejności - to centrum odzyskiwania dostępu do wszystkich pozostałych kont
2. Konta bankowe i finansowe
3. Hasło główne menedżera haseł (jeśli z niego korzystasz)
4. Media społecznościowe, sklepy internetowe i pozostałe konta

Tam, gdzie to możliwe, włącz odporne na phishing uwierzytelnianie wieloskładnikowe (klucze dostępu / sprzętowe klucze FIDO2 / aplikacje uwierzytelniające) - zaawansowani atakujący potrafią obejść MFA oparte na SMS-ach.

13

Potwierdź czystość systemu i monitoruj go przez 7 dni

5 min + tydzień monitorowania

Ponownie połącz się z siecią i przeprowadź ostatnie pełne skanowanie za pomocą Combo Cleaner. Otwórz Menedżer zadań (Ctrl + Shift + Esc) i przejdź na kartę Aplikacje autostartu - upewnij się, że nic podejrzanego nie pojawiło się ponownie.

Przez następne 7 dni obserwuj, czy objawy nie powracają: nieoczekiwanie wysokie użycie CPU, ponowne pojawianie się nieznanych procesów, przekierowania w przeglądarce lub wyskakujące okienka. Jeśli cokolwiek wróci, oznacza to, że przeoczyłeś punkt persystencji i musisz powtórzyć procedurę - albo infekcja sięga głębiej i konieczna jest czysta instalacja.

Kiedy lepiej przeprowadzić czystą instalację Windows

Ręczne usuwanie nie zawsze jest właściwym rozwiązaniem. Ponowna instalacja systemu Windows od zera to jedyny sposób, by mieć 100% pewności, gdy:

• Malware pojawia się ponownie po każdej próbie usunięcia
• Wykryto bootkit lub rootkit UEFI (ta klasa zagrożeń działa poniżej systemu operacyjnego i przetrwa zwykłą ponowną instalację Windows)
• Potwierdzony trojan kradnący dane logowania działał z uprawnieniami administratora (Lumma, RedLine, Vidar) - system najprawdopodobniej zawiera wiele nieznanych ładunków
• Używasz komputera do bankowości internetowej, służbowej poczty e-mail lub innych zadań, w których nawet częściowa niepewność jest nie do przyjęcia

Czysta instalacja zajmuje 30-60 minut: ponowna instalacja Windows 11 przez Ustawienia → System → Odzyskiwanie → Resetuj ten komputer → Usuń wszystko → Pobieranie z chmury. Najpierw wykonaj kopię zapasową dokumentów na zewnętrznym nośniku, przeskanuj ją za pomocą Combo Cleaner przed przywróceniem i zainstaluj aplikacje od nowa - nigdy nie przywracaj ich z kopii zapasowej zainfekowanego systemu.

Ważne: Ręczne usuwanie wymaga zaawansowanej znajomości obsługi komputera. Jeśli nie masz pewności, jak odróżnić pliki systemowe od złośliwych, przeprowadź automatyczne skanowanie za pomocą Combo Cleaner i Windows Defender i na tym poprzestań - ta metoda wychwytuje zdecydowaną większość trojanów atakujących użytkowników domowych bez ryzyka uszkodzenia systemu Windows przez usunięcie niewłaściwego pliku.

Najczęściej zadawane pytania (FAQ)

Dlaczego otrzymałem ten e-mail?

Jest prawdopodobne, że cyberprzestępcy uzyskali twój adres e-mail z bazy danych zawierających wycieki e-maili. Wiadomości używane do rozsyłania malware nie mają charakteru osobistego.

Pobrałem i otworzyłem plik załączony do tego e-maila, czy mój komputer jest zainfekowany?

Dokumenty MS Office używane w tej złośliwej kampanii spamowej nie infekują komputerów, chyba że otrzymają pozwolenie na włączenie poleceń makr (edycji lub treści). Chociaż złośliwe dokumenty otwierane w wersjach MS Office wydanych przed 2010 r. infekują komputery bez pytania o pozwolenie na włączenie poleceń makr.

Przeczytałem e-mail, ale nie otworzyłem załącznika, czy mój komputer jest zainfekowany?

Otwarcie złośliwego e-maila nie może spowodować żadnych szkód. Komputery zostają zainfekowane tylko wtedy, gdy odbiorcy otwierają/wykonują złośliwe pliki (załączniki lub pliki pobrane ze złośliwych witryn).

Czy Combo Cleaner usunie infekcje malware, które były obecne w załączniku do e-maila?

Tak, Combo Cleaner jest w stanie wykryć i usunąć prawie wszystkie znane złośliwe programy. Niektóre malware może ukrywać się głęboko w systemie. W takich przypadkach system operacyjny musi zostać w pełni przeskanowany.