Przetestowałem system Windows 11 25H2 pod kątem prawdziwego oprogramowania ransomware – oto, co się stało

Jak skonfigurowano test

Test oprogramowania ransomware w systemie Windows 11 to tak naprawdę test czterech oddzielnych warstw, a nie jednego programu antywirusowego. Na filmie test odbywa się na systemie Windows 11 25H2 w całkowicie odizolowanym laboratorium, na jednorazowej maszynie, która jest następnie czyszczona – jest to jedyny bezpieczny sposób, w jaki można przeprowadzić taki test. Odpowiedź na pytanie nie brzmi po prostu „czy program antywirusowy to przechwycił?”, ale to, jak zachowuje się każda wbudowana warstwa, w kolejności, gdy zostanie uwolniony prawdziwy program szyfrujący.

Warstwa 1 – SmartScreen ocenia plik przy drzwiach

Większość oprogramowania ransomware nie pojawia się w sposób magiczny. Pojawia się jako plik do pobrania, załącznik do wiadomości e-mail lub plik skopiowany z dysku USB – i zwykle udaje coś innego: fakturę, życiorys, crack do oprogramowania, rachunek. SmartScreen to punkt kontrolny przy tych drzwiach. Po uruchomieniu pliku pochodzącego z Internetu system Windows sprawdza jego reputację. Plik, który bezpiecznie działał na milionach komputerów, przechodzi cicho; zupełnie nowy lub nieznany plik powoduje wyświetlenie niebieskiego ekranu ostrzegawczego, który wiele osób klika bez czytania.

To ostrzeżenie nie jest ozdobą — jest to warstwa działająca dokładnie tak, jak została zaprojektowana i informująca, że ten plik nie ma żadnych osiągnięć. Uczciwa granica: SmartScreen ocenia reputację, a nie intencje. Plik, który jest nowy, ale nieszkodliwy, zostaje ostrzeżony, a plik, który szeroko się rozprzestrzenił, zanim ktokolwiek go zgłosił, może zostać usunięty. To mocny pierwszy filtr, a nie werdykt.

Warstwa 2 – Kontrola reputacji i chmury za kulisami

Defender nie polega wyłącznie na bazie danych podpisów przechowywanej na Twoim komputerze. Po włączeniu ochrony dostarczanej przez chmurę podejrzany plik jest również sprawdzany pod kątem stale aktualizowanych analiz firmy Microsoft dotyczących chmury, a automatyczne przesyłanie próbek może wysłać wątpliwy plik do głębszej analizy. W ten sposób zagrożenie, które pojawiło się gdzieś na świecie godzinę temu, może zostać rozpoznane na Twoim komputerze już dziś, a nie po kolejnej aktualizacji bazy danych.

Te dwa przełączniki znajdują się w obszarze Zabezpieczenia systemu Windows > Ochrona przed wirusami i zagrożeniami > Ustawienia ochrony przed wirusami i zagrożeniami > Zarządzaj ustawieniami. Na wielu komputerach są one domyślnie włączone, ale na komputerach, na których ktoś kiedyś „zoptymalizował” system Windows lub wyłączył funkcje Defendera, są po cichu wyłączone. Ta pojedyncza różnica wyjaśnia, dlaczego ten sam test może zakończyć się inaczej na dwóch pozornie identycznych komputerach.

Warstwa 3 – obrońca obserwuje zachowanie, a nie tylko pliki

Klasyczne zadanie programu antywirusowego polega na dopasowywaniu plików do znanych, złych sygnatur. Ransomware z łatwością radzi sobie z tym zadaniem, ponieważ każda kampania może wykorzystywać świeżo spakowane pliki, których nikt wcześniej nie widział. Dlatego Defender obserwuje także zachowanie: program, który nagle zaczyna otwierać i przepisywać setki dokumentów, zdjęć i arkuszy kalkulacyjnych w ciągu kilku sekund, niezależnie od nazwy pliku, zachowuje się jak oprogramowanie ransomware – a monitorowanie zachowania i ochrona w czasie rzeczywistym mogą przerwać dokładnie ten schemat.

Obserwowanie zachowań jest skuteczne, ale nie doskonałe. Potrzebuje aktywności kilku plików, zanim wzór będzie niezaprzeczalny, a szybki program szyfrujący na szybkim dysku SSD jest szybki. To jest uczciwy powód, dla którego żaden uczciwy ekspert nie obiecuje, że sam program antywirusowy zapewni bezpieczeństwo – i dlaczego istnieje kolejna warstwa.

Warstwa 4 – Kontrolowany dostęp do folderów chroni same pliki

Kontrolowany dostęp do folderów zmienia pytanie. Zamiast pytać „Czy ten program jest zły?”, pojawia się pytanie: „Czy ten program znajduje się na liście dozwolonych do dotykania ważnych folderów?” Dokumenty, zdjęcia, filmy, muzyka i pulpit są domyślnie chronione i możesz dodawać własne foldery robocze. Każdy program, który nie jest zaufany i próbuje zmienić pliki w tych folderach, jest blokowany – w tym zupełnie nowy program szyfrujący, którego warstwy od 1 do 3 nigdy nie widziały.

Oto haczyk decydujący o większości rzeczywistych wyników: Kontrolowany dostęp do folderów jest domyślnie wyłączony w przypadku normalnej instalacji systemu Windows, ponieważ zbyt rygorystyczna ochrona może czasami zablokować legalny program. Włączasz ją w Zabezpieczenia systemu Windows > Ochrona przed wirusami i zagrożeniami > Ochrona przed oprogramowaniem ransomware > Zarządzaj ochroną przed oprogramowaniem ransomware. Spośród wszystkich ustawień opisanych w tym przewodniku właśnie tego brakuje w większości domowych komputerów.

Ochrona przed manipulacją – strażnik na straży

Każda warstwa powyżej zależy od tego, czy jej ustawienia pozostają włączone. Współczesne złośliwe oprogramowanie o tym wie i jednym z jego pierwszych ruchów jest często ciche wyłączenie Defendera. Funkcja Ochrona przed naruszeniem ma właśnie temu zapobiec: gdy jest włączona, kluczowych ustawień usługi Defender nie można zmienić za pomocą aplikacji ani skryptów — tylko Ty w aplikacji Zabezpieczenia systemu Windows. Znajduje się na tej samej stronie Zarządzaj ustawieniami, na której przełączana jest chmura w kroku 3.

W teście – i w prawdziwym incydencie – na tym polega różnica między obroną, która kontratakuje, a obroną, która została po cichu usunięta przed rozpoczęciem walki. Sprawdź, czy jest włączone; zajmuje to dziesięć sekund.

Warstwa poza systemem Windows — Twoja kopia zapasowa offline

Każda warstwa powyżej próbuje powstrzymać atak. Warstwa kopii zapasowej zakłada, że ​​atak się powiódł – i sprawia, że ​​nie ma to znaczenia. Ransomware nie może zaszyfrować kopii, do której nie może dotrzeć, dlatego jedna kopia zapasowa musi znajdować się w miejscu, na którym zainfekowany komputer nie może zapisywać: na dysku zewnętrznym odłączanym po utworzeniu kopii zapasowej lub w chmurze z odpowiednią historią wersji.

Werdykt – lista kontrolna, a nie wynik

Test laboratoryjny pokazuje, jak te warstwy zachowują się w porównaniu z próbkami wybranymi tego dnia i przy tych ustawieniach. Nie oznacza to zwycięzcy na zawsze: napastnicy stale zmieniają opakowanie i sztuczki, a Microsoft stale aktualizuje swoje dane. Windows 11 25H2 kontynuuje ten sam model warstwowy, a nie go zastępuje – praktyczną różnicą dla większości użytkowników są aktualne informacje i ustawienia domyślne, a nie zupełnie nowa osłona.

A zatem najważniejszym wnioskiem z testu jest lista kontrolna, a nie wynik. Jeśli poprawnie wykonasz te pięć zadań, odtworzysz najważniejszą część dowolnego wyniku testu na swoim komputerze: (1) przestrzegaj ostrzeżenia SmartScreen, (2) włącz ochronę dostarczaną w chmurze, (3) włącz ochronę przed manipulacją, (4) włącz kontrolowany dostęp do folderów, (5) jedną kopię zapasową przechowywaną w trybie offline. Obejrzyj cały film powyżej, aby zobaczyć sam test, a następnie zastosuj ustawienia.