Pytanie, jak sprawdzić czy komputer ma wirusa, pada najczęściej wtedy, gdy sprzęt zaczyna zachowywać się nieprzewidywalnie: wentylator pracuje na pełnych obrotach przy pustym pulpicie, przeglądarka otwiera zakładki bez kliknięcia, a proste kopiowanie pliku trwa minutę. Dobra wiadomość: odpowiedź na pytanie, jak sprawdzić czy komputer ma wirusa, mieści się w kilkunastu minutach samodzielnej diagnostyki, bez wizyty w serwisie i bez płacenia 150–250 zł za ekspertyzę. Wystarczy uporządkowana kolejność działań: obserwacja objawów, analiza procesów i połączeń sieciowych, skan dwoma niezależnymi silnikami oraz weryfikacja punktów autostartu. W tym poradniku znajdziesz komplet narzędzi, od wbudowanych w system po darmowe skanery drugiej opinii, a także wskazówki, co zrobić, gdy infekcja dotknie nie tylko laptopa, ale też routera, konta pocztowego i strony internetowej postawionej na współdzielonym serwerze. Każdy krok opisuję tak, żeby dało się go wykonać na Windows 10, Windows 11 i w większości dystrybucji Linuksa.
Objawy, które zdradzają infekcję zanim uruchomisz skaner
Złośliwe oprogramowanie rzadko ogłasza swoją obecność. Zdradzają je zachowania peryferyjne: procesor obciążony w 40–70 procentach przy zamkniętych aplikacjach, dysk pracujący w nocy bez powodu, nagły ubytek kilku gigabajtów wolnego miejsca albo laptop, który z dnia na dzień traci połowę czasu pracy na baterii. Koparki kryptowalut działają dokładnie w ten sposób.
Druga grupa sygnałów dotyczy przeglądarki. Zmieniona strona startowa, rozszerzenia, których nikt nie instalował, przekierowania na porównywarki cen oraz reklamy wyświetlane w witrynach, które reklam nie mają, tworzą klasyczny obraz adware. Podobnie zachowuje się hijacker DNS, podmieniający serwery nazw w karcie sieciowej na adresy kontrolowane przez atakującego.
Trzeci trop to sam system. Zablokowany Menedżer zadań, wyłączona ochrona w czasie rzeczywistym, brak dostępu do edytora rejestru, pliki z podwójnym rozszerzeniem w stylu faktura.pdf.exe oraz dokumenty zamienione na pliki z rozszerzeniem .locked oznaczają poważną infekcję, najczęściej ransomware. Wtedy priorytetem jest natychmiastowe odłączenie sprzętu od sieci przewodowej i bezprzewodowej.
Nietypowe zużycie zasobów i temperatura obudowy
Termika bywa lepszym czujnikiem niż intuicja. Jeśli notebook w spoczynku utrzymuje 65–80 stopni na rdzeniach, a wcześniej trzymał 45–50, sprawdź, który proces generuje obciążenie. Wbudowany Monitor zasobów pokazuje zużycie procesora, dysku i sieci w podziale na procesy, co pozwala szybko wskazać podejrzanego kandydata do dalszej analizy.
Jak sprawdzić czy komputer ma wirusa krok po kroku
Diagnostykę zaczynaj od procesów. W Menedżerze zadań posortuj listę według obciążenia procesora, a następnie dla każdego podejrzanego wpisu wybierz opcję otwarcia lokalizacji pliku. Procesy systemowe mieszkają w katalogu Windows i System32. Plik o systemowo brzmiącej nazwie ulokowany w folderze tymczasowym lub w profilu użytkownika to sygnał ostrzegawczy.
Drugi etap to połączenia sieciowe. Polecenie netstat z parametrami wyświetla aktywne połączenia razem z identyfikatorem procesu, który je nawiązał. Stałe odpytywanie nieznanego adresu IP co kilkadziesiąt sekund, przy zamkniętej przeglądarce i komunikatorze, wskazuje na komunikację z serwerem sterującym. Ten sam wynik potwierdzisz w zakładce sieciowej Monitora zasobów.
Trzeci etap dotyczy trwałości. Malware musi przetrwać restart, więc zapisuje się w autostarcie, w zadaniach harmonogramu albo jako usługa. Bezpłatne narzędzie Autoruns z pakietu Sysinternals wyświetla wszystkie te punkty w jednym oknie i oznacza wpisy bez podpisu cyfrowego, co skraca analizę z godziny do kilku minut.
- Menedżer zadań: sortowanie po CPU, dysku i sieci, weryfikacja lokalizacji pliku.
- netstat -ano oraz Monitor zasobów: wykrycie stałej komunikacji z nieznanym adresem.
- Autoruns: przegląd autostartu, usług, zadań i rozszerzeń powłoki.
- Harmonogram zadań: zadania uruchamiane co kilka minut ze skryptem PowerShell.
- Historia przeglądarki i lista rozszerzeń: wtyczki dodane bez zgody użytkownika.
Tryb awaryjny i skanowanie spoza systemu
Część zagrożeń, zwłaszcza rootkity i bootkity, ukrywa się przed skanerem uruchomionym w normalnej sesji. Rozwiązaniem jest skan offline z nośnika startowego USB albo tryb awaryjny z obsługą sieci. System ładuje wtedy minimalny zestaw sterowników, przez co złośliwy komponent nie zdąży przechwycić funkcji systemowych i staje się widoczny dla silnika antywirusowego.
Skanery i narzędzia drugiej opinii — praktyczne porównanie
Jeden skaner to za mało. Silniki różnią się bazami sygnatur i heurystyką, więc standardem jest skan podstawowy plus tak zwana druga opinia z niezależnego produktu. Poniższe zestawienie obejmuje narzędzia, które sprawdzają się na domowym sprzęcie i w małej firmie, wraz z orientacyjnym kosztem licencji w złotówkach.
| Narzędzie | Typ | Orientacyjny koszt | Kiedy stosować |
|---|---|---|---|
| Microsoft Defender | Ochrona ciągła | 0 zł, w cenie systemu | Podstawowa warstwa na co dzień |
| Malwarebytes | Skaner na żądanie | 0 zł, wersja płatna ok. 150–250 zł rocznie | Druga opinia, adware i PUP |
| ESET Online Scanner | Skaner jednorazowy | 0 zł | Szybka weryfikacja bez instalacji |
| Kaspersky Rescue Disk | Nośnik startowy | 0 zł | Rootkity i systemy, które się nie uruchamiają |
| Sysinternals Autoruns | Analiza autostartu | 0 zł | Ręczne śledztwo nad mechanizmem trwałości |
Kolejność ma znaczenie. Najpierw pełny skan wbudowanym rozwiązaniem, potem skan drugim silnikiem na żądanie, a dopiero na końcu nośnik ratunkowy, jeśli poprzednie kroki wykryły coś, czego nie potrafiły usunąć. Pakiety komercyjne z modułem antyransomware kosztują zwykle 120–300 zł rocznie za jedno stanowisko.
Przed każdym skanem wyczyść foldery tymczasowe i pamięć podręczną przeglądarki. Skrócisz analizę o kilkanaście minut i unikniesz setek trafień w plikach, które i tak są bezużyteczne. Kopię zapasową najważniejszych dokumentów wykonaj na nośnik zewnętrzny odłączany po zakończeniu operacji, nigdy na dysk sieciowy pozostający stale zamontowany.
Router, Wi-Fi i łącze: sieciowa strona infekcji
Objawy przypisywane wirusowi bywają problemem transmisji. Zanim rozbierzesz system na części, ustal, jak sprawdzić prędkość internetu rzetelnie: test wykonaj kablem, przy wyłączonych transferach w tle, na trzech różnych serwerach pomiarowych i o różnych porach dnia. Pomiar przez sieć bezprzewodową na drugim piętrze mierzy zasięg, nie łącze.
Jeżeli wynik na kablu odpowiada umowie, a bezprzewodowo spada czterokrotnie, problem leży w warstwie radiowej. Pytanie, jak wzmocnić sygnał wifi w domu, sprowadza się do trzech decyzji: przeniesienia routera na środek mieszkania i powyżej poziomu blatu, zmiany kanału w paśmie 2,4 GHz oraz dołożenia punktu mesh za 250–500 zł zamiast prostego wzmacniacza.
Router bywa też realnym celem ataku. Domyślne hasło administratora, otwarty dostęp z internetu i firmware sprzed kilku lat wystarczą, by ktoś podmienił serwery nazw dla całej sieci domowej. Objaw jest charakterystyczny: przekierowania działają na każdym urządzeniu, także na telefonie, którego nigdy nie podłączałeś do komputera.
Zainfekowana strona WWW i serwer: co sprawdzić po stronie hostingu
Trojan wykradający hasła zapisane w kliencie FTP potrafi rozlać infekcję na witrynę. Jeśli utrzymujesz stronę, porównaj sumy kontrolne plików rdzenia z oryginalną paczką, przejrzyj logi dostępowe pod kątem obcych adresów IP i sprawdź daty modyfikacji plików motywu. Obcy wpis w konfiguracji to dowód rozstrzygający.
Sprzątanie zacznij od przekierowań i szyfrowania. Zweryfikuj, jak ustawić przekierowanie 301 w htaccess zgodnie z własnym zamysłem, bo napastnicy dopisują tam reguły kierujące ruch mobilny na obce adresy. Sprawdź również, jak zainstalować certyfikat ssl na serwerze poprawnie, ponieważ darmowy certyfikat ssl lets encrypt odnawia się cyklicznie i wygasły łańcuch bywa mylony z atakiem.
Kolejny obszar to domena. Gdy w wynikach wyszukiwania pojawia się cudza treść, ustal, jak sprawdzić kto jest właścicielem domeny w bazie WHOIS i czy dane kontaktowe nie zostały podmienione. Dowiedz się też, jak przedłużyć domenę po wygaśnięciu, zanim trafi do kwarantanny, bo odzyskanie z tego etapu kosztuje zwykle 300–600 zł.
Warstwa nazw wymaga osobnej rewizji. Sprawdź, jak skonfigurować rekordy dns domeny zgodnie z dokumentacją operatora i co to jest rekord cname, ponieważ przejęcie porzuconego aliasu pozwala napastnikowi serwować własną treść pod Twoim subdomenowym adresem, z pełną wiarygodnością Twojej marki i bez ostrzeżenia przeglądarki.
Na końcu została infrastruktura. Jeśli infekcje wracają, przemyśl, jak wybrać hosting pod wordpress z automatycznymi kopiami i skanerem plików, porównaj, czym rozni sie vps od hostingu wspoldzielonego pod względem izolacji kont, i zaplanuj, jak przeniesc strone na inny hosting, przenosząc bazę i treści, a nie zainfekowane pliki.
Jak często sprawdzać, czy komputer ma wirusa?
Ochrona w czasie rzeczywistym pracuje nieprzerwanie, więc pełny skan ręczny wystarczy raz w miesiącu, najlepiej w nocy, gdy sprzęt i tak stoi bezczynnie. Skan drugim, niezależnym silnikiem wykonuj raz na kwartał oraz zawsze po zdarzeniu podwyższonego ryzyka: otwarciu załącznika z nieznanego adresu, instalacji programu z witryny agregującej pliki, podłączeniu cudzego pendrive lub korzystaniu z otwartej sieci bezprzewodowej w hotelu. Osobno, mniej więcej co pół roku, przejrzyj listę autostartu, rozszerzenia przeglądarki i zadania harmonogramu. Ten przegląd wychwytuje adware i narzędzia szpiegujące, które silniki antywirusowe klasyfikują jako aplikacje potencjalnie niechciane i domyślnie tolerują w systemie.
Czy darmowy antywirus wystarczy do wykrycia zagrożeń?
Do typowego użytku domowego bezpłatna ochrona wbudowana w system radzi sobie dobrze i w niezależnych testach wykrywalności utrzymuje wyniki porównywalne z produktami płatnymi. Różnica leży w dodatkach: pakiety komercyjne za 120–300 zł rocznie dokładają moduł antyransomware chroniący foldery dokumentów, filtr phishingowy w przeglądarce, zaporę z regułami dla aplikacji, kopie zapasowe w chmurze oraz wsparcie techniczne. Dla firmy przetwarzającej dane klientów te elementy mają wymierną wartość, bo skracają czas reakcji na incydent. W domu sensowniejszą inwestycją bywa dysk zewnętrzny na kopie zapasowe za 250–400 zł i menedżer haseł, ponieważ obydwa ograniczają skutki infekcji, której żaden silnik nie zatrzymał.
Co zrobić, gdy skaner wykryje wirusa, ale nie potrafi go usunąć?
Taka sytuacja zwykle oznacza, że złośliwy plik jest w danej chwili używany przez system albo chroniony przez drugi, jeszcze niewykryty komponent. Pierwszym krokiem jest uruchomienie skanu w trybie awaryjnym, drugim skan z nośnika startowego, który ładuje własne środowisko i analizuje dysk jako zwykłe dane, bez udziału zainfekowanego systemu. Jeśli to nie pomaga, zapisz dokumenty na dysk zewnętrzny bez plików wykonywalnych, skanuj je osobno na czystej maszynie i przeprowadź czystą instalację systemu z formatowaniem partycji. Po odzyskaniu kontroli zmień hasła do poczty, bankowości i paneli administracyjnych, korzystając z innego, pewnego urządzenia, a następnie włącz uwierzytelnianie dwuskładnikowe.
