Я протестировал Windows 11 25H2 на наличие реальных программ-вымогателей – вот что произошло

Как был организован тест

Тестирование вируса-вымогателя в Windows 11 на самом деле представляет собой испытание четырех отдельных уровней, а не одного антивируса. На видео тест выполняется на Windows 11 25H2 в полностью изолированной лаборатории на одноразовом компьютере, который впоследствии очищается — это единственный безопасный способ проведения такого теста. Вопрос, на который приходится отвечать, заключается не просто в том, «поймал ли его антивирус?», а в том, как по порядку ведет себя каждый встроенный уровень, когда настоящий шифратор выходит на свободу.

Уровень 1 — SmartScreen оценивает файл у двери

Большинство программ-вымогателей не появляются случайно. Он приходит в виде загрузки, вложения к электронной почте или файла, скопированного с USB-накопителя, и обычно выдает себя за что-то другое: счет, резюме, взлом программного обеспечения, счет. SmartScreen — это контрольно-пропускной пункт у этой двери. Когда вы запускаете файл, полученный из Интернета, Windows проверяет его репутацию. Файл, который благополучно запускали миллионы компьютеров, проходит спокойно; совершенно новый или неизвестный файл вызывает синий экран с предупреждением, на который многие люди переходят, не читая.

Это предупреждение не является украшением — это слой работает точно так, как задумано, сообщая вам, что у этого файла нет послужного списка. Честный предел: SmartScreen оценивает репутацию, а не намерения. Предупреждается о новом, но безвредном файле, а о файле, который широко распространился до того, как кто-либо сообщил о нем, можно пройти. Это сильный первый фильтр, а не приговор.

Уровень 2 – закулисная проверка репутации и облака

Защитник не полагается только на базу данных сигнатур, хранящуюся на вашем компьютере. Если включена облачная защита, подозрительный файл также проверяется на соответствие постоянно обновляемым облачным данным Microsoft, а автоматическая отправка образца может отправить подозрительный файл на более глубокий анализ. Таким образом, угроза, появившаяся где-то в мире час назад, может быть распознана на вашем ПК сегодня, а не после очередного обновления баз.

Эти два переключателя находятся в разделе Безопасность Windows > Защита от вирусов и угроз > Параметры защиты от вирусов и угроз > Управление настройками. На многих компьютерах они включены по умолчанию, но на компьютерах, где кто-то когда-то «оптимизировал» Windows или отключил функции Защитника, они незаметно отключены. Это единственное различие объясняет, почему один и тот же тест может закончиться по-разному на двух, казалось бы, одинаковых машинах.

Уровень 3. Защитник отслеживает поведение, а не только файлы

Классическая задача антивируса — сопоставление файлов с заведомо плохими сигнатурами. Программы-вымогатели легко справляются с этой задачей, поскольку каждая кампания может использовать только что упакованные файлы, которые никто раньше не видел. Таким образом, Defender также следит за поведением: программа, которая внезапно начинает открывать и перезаписывать сотни документов, фотографий и электронных таблиц за считанные секунды, ведет себя как программа-вымогатель, какое бы имя ее файла ни было указано, - и существуют мониторинг поведения и защита в реальном времени, чтобы прервать именно эту модель.

Наблюдение за поведением — это мощный, но не идеальный инструмент. Требуется активность нескольких файлов, прежде чем закономерность станет неоспоримой, а быстрый шифратор на быстром SSD работает быстро. Это честная причина, по которой ни один честный эксперт не обещает, что антивирус сам по себе обеспечит вашу безопасность, и почему существует следующий уровень.

Уровень 4 — контролируемый доступ к папкам защищает сами файлы

Контролируемый доступ к папкам меняет вопрос. Вместо вопроса «плохая ли эта программа?» он спрашивает: «Входит ли эта программа в список разрешенных для доступа к вашим важным папкам?» Документы, изображения, видео, музыка и рабочий стол защищены по умолчанию, и вы можете добавлять свои собственные рабочие папки. Любая программа, которой не доверяют и которая пытается изменить файлы в этих папках, блокируется, включая совершенно новый шифратор, которого уровни с 1 по 3 никогда не видели.

Вот загвоздка, которая решает большинство реальных результатов: Контролируемый доступ к папкам отключен по умолчанию при обычной установке Windows, поскольку слишком строгая защита может иногда заблокировать законную программу. Его можно включить в разделе Безопасность Windows > Защита от вирусов и угроз > Защита от программ-вымогателей > Управление защитой от программ-вымогателей. Из всех настроек в этом руководстве именно этой нет на большинстве домашних компьютеров.

Защита от несанкционированного доступа – стража на страже

Каждый слой выше зависит от того, остаются ли его настройки включенными. Современное вредоносное ПО знает об этом, и одним из его первых действий часто является незаметное выключение Defender. Защита от несанкционированного доступа существует именно для того, чтобы предотвратить это: пока она включена, ключевые настройки Защитника не могут быть изменены приложениями или сценариями — только вы, в приложении Windows Security. Он находится на той же странице Управление настройками, где переключается облако на шаге 3.

В тесте — и в реальном инциденте — в этом заключается разница между защитой, которая сопротивляется, и защитой, которая была тихо снята до начала боя. Убедитесь, что он включен; это занимает десять секунд.

Слой вне Windows — ваша автономная резервная копия

Каждый уровень выше пытается остановить атаку. Уровень резервного копирования предполагает, что атака прошла успешно, и не имеет значения. Программа-вымогатель не может зашифровать копию, к которой она не может получить доступ, поэтому одна резервная копия должна находиться там, где зараженный компьютер не может выполнять запись: на внешнем диске, который отключается после резервного копирования, или в облачном хранилище с соответствующей историей версий.

Вердикт: контрольный список, а не оценка

Лабораторный тест показывает, как эти слои ведут себя по сравнению с образцами, выбранными в тот день с такими настройками. Победителя это не определяет навсегда: злоумышленники постоянно меняют упаковку и уловки, а Microsoft постоянно обновляет разведданные. Windows 11 25H2 продолжает ту же многоуровневую модель, а не заменяет ее. Практическая разница для большинства пользователей заключается в обновленном интеллекте и настройках по умолчанию, а не в совершенно новом щите.

Итак, честный вывод из теста — это контрольный список, а не оценка. Правильно выполните эти пять действий, и вы воспроизведете самую сильную часть любого результата теста на своем компьютере: (1) соблюдайте предупреждение SmartScreen, (2) включите облачную защиту, (3) включите защиту от несанкционированного доступа, (4) включите контролируемый доступ к папкам, (5) одну резервную копию, хранящуюся в автономном режиме. Посмотрите полное видео выше, чтобы увидеть сам тест, а затем примените настройки.