Что на самом деле называют «вирусом на Mac»
Слово «вирус» в разговорах про Mac обычно означает любую нежелательную программу. Строго говоря, самораспространяющиеся вирусы на Mac встречаются редко. Гораздо чаще владельцы сталкиваются с другими вещами, и у каждой свои признаки и способ удаления.
| Что это | Как проявляется | Как попадает |
|---|---|---|
| Рекламное ПО | Всплывающая реклама, смена поиска по умолчанию, баннеры на страницах | Установка программы из случайного источника, поддельное обновление |
| Перехватчик браузера | Стартовая страница меняется сама, поиск уходит на незнакомый сайт | Расширение браузера, которое вы добавили или которое поставилось вместе с программой |
| Троян | Программа выглядит полезной, но делает другое: следит, ворует данные | Взломанная программа, загрузка с непроверенного сайта |
| Шифровальщик | Файлы недоступны, требуют выкуп | Вложение в письме, взломанный установщик |
| Мошеннический сайт | Окно «Ваш Mac заражён, свяжитесь с поддержкой» | Переход по рекламной ссылке, сомнительный сайт |
Важно различать: всплывающее окно в браузере это не вирус на компьютере, а обман, который работает только на странице. А вот программа, которую вы установили и разрешили вводом пароля, уже реально работает в системе.
Что защищает Mac по умолчанию
В macOS несколько уровней встроенной защиты.
- Gatekeeper проверяет программы при первом запуске и по умолчанию разрешает приложения из App Store и от проверенных разработчиков.
- XProtect сверяет программы с базой известных угроз, и база обновляется отдельно от версий системы.
- Запросы доступа к файлам, камере, микрофону и экрану: программа не получит их, пока вы не разрешите.
- Обновления безопасности закрывают найденные уязвимости.
Эти механизмы работают, пока пользователь их не отключил и не подтвердил запуск подозрительной программы. Поэтому защита macOS надёжна против случайностей и слабее против того, кому вы сами открыли дверь.
Признаки заражения
Задайте себе вопросы по списку. Один признак ещё ничего не значит, а несколько сразу серьёзный повод проверить Mac.
| Признак | Что проверить |
|---|---|
| Реклама в браузере, которую вы не включали | Расширения браузера, профили |
| Изменилась стартовая страница или поиск по умолчанию | Настройки браузера |
| Незнакомые программы в папке «Программы» | Список программ, дата установки |
| Вентиляторы шумят, хотя вы ничего не запускали | «Мониторинг системы», нагрузка на процессор |
| Mac стал тормозить без видимой причины | Объекты входа, нагрузка на процессор |
| Окна с требованием срочно обновить Flash или оплатить | Мошенничество: окно закрыть, ничего не устанавливать |
| Браузер открывает новые вкладки сам | Расширения и профили |
| Просят пароль администратора без вашего действия | Не вводить, закрыть окно |
Обратите внимание на последний пункт: окно с запросом пароля, которое возникло само, когда вы ничего не устанавливали, открывает вредоносной программе путь в систему. Не вводите пароль, пока не поймёте, что просит его именно та программа, которую вы запустили.
Быстрая проверка без программ
Чтобы понять, есть ли проблема, пройдите четыре простых шага.
- Откройте папку «Программы» и посмотрите на последние добавленные приложения.
- Откройте расширения браузера и сравните список с тем, что ставили сами.
- Откройте «Мониторинг системы» и посмотрите на самые прожорливые процессы.
- Проверьте «Объекты входа» и список профилей.
Всё это делается за один присест и ничего не ломает: вы только смотрите и записываете, что показалось чужим. Удалять что-либо стоит после того, как вы выяснили, откуда взялась программа и зачем она нужна. Если на каждом шаге всё знакомо, вероятнее всего, дело не во вредоносной программе, а в нехватке памяти, слабом накопителе или пыли в системе охлаждения. В этом случае читайте статью «Safari тормозит на Mac» и «Что делать, если Mac тормозит».
Что делать сразу
Если вы заметили признаки, действуйте по порядку и без паники.
- Закройте подозрительные окна. Если окно в браузере не закрывается, завершите браузер принудительно: нажмите Command, Option и Esc, выберите браузер в списке и нажмите «Завершить принудительно».
- Не вводите пароль и не набирайте номера из окна. Окна с номерами для «поддержки» принадлежат мошенникам.
- Не оплачивайте «лечение». Ни одна настоящая программа не требует срочной оплаты через всплывающее окно.
- Отключите Mac от интернета, если подозреваете, что программа передаёт ваши данные: выключите Wi-Fi и отсоедините сетевой кабель.
- Сохраните важные данные на внешний диск, но не копируйте с заражённого Mac подозрительные программы и установщики.
- Смените пароли от почты и банков, но с другого, чистого устройства.
Как удалить вредоносную программу вручную
Порядок такой: сначала находим и убираем программу, потом её хвосты в системе и браузере.
Шаг 1. Посмотрите список программ
Откройте папку «Программы» в Finder и включите сортировку по дате. Обратите внимание на всё, что вы не ставили сами или не помните. Подозрительную программу перетащите в корзину и очистите её. Если программа просит пароль, введите его: это пароль вашего собственного Mac, а не постороннего сервиса.
Шаг 2. Проверьте объекты входа
Некоторые программы запускаются вместе с системой. На новых macOS откройте «Системные настройки», затем «Основные» и «Объекты входа и расширения»; на старых версиях (macOS 12 и старше) откройте «Системные настройки», «Пользователи и группы», вкладку «Объекты входа». Удалите незнакомое. Если вы не уверены, что это, оставьте его и сначала узнайте, откуда оно взялось.
Шаг 3. Удалите подозрительные расширения браузера
В Safari откройте «Safari», затем «Настройки» и вкладку «Расширения». Выключите и удалите всё незнакомое. В других браузерах расширения открываются через меню настроек, раздел «Расширения». Расширения часто отвечают за рекламу и подмену поиска, поэтому этот шаг нельзя пропускать.
Шаг 4. Верните настройки браузера
Проверьте стартовую страницу и поиск по умолчанию: в Safari это «Настройки», вкладки «Основные» и «Поиск». Верните то, что было до изменений. Очистите историю и данные сайтов: в Safari есть пункт «Очистить историю» в меню «История». Так пропадут подозрительные куки и временные данные.
Шаг 5. Проверьте профили
Вредоносные программы иногда добавляют профиль конфигурации, который навязывает стартовую страницу и прокси. В «Системных настройках» в разделе «Основные» поищите пункт с профилями или управлением устройством (в разных версиях macOS он называется по-разному). Если там есть профиль, которого вы не устанавливали и который не связан с работой, его можно удалить. Но профили от организации, где вы работаете, удалять не нужно: сначала уточните у администратора.
Шаг 6. Перезагрузите Mac и проверьте результат
После удаления перезагрузите Mac и откройте браузер. Если реклама пропала, а нагрузка на процессор нормальная, скорее всего, очистка удалась. Если признаки вернулись, возможно, осталась программа, которая переустанавливает себя.
Как найти программу, которая грузит процессор
Откройте «Мониторинг системы» (через Spotlight: Command и пробел, затем название). Перейдите на вкладку «ЦП» и отсортируйте процессы по нагрузке. Если вверху списка стоит незнакомый процесс, который держит процессор на высоком уровне, запишите его имя и поищите, что это. Процессы самой системы, например поиск по файлам после обновления, временно нагружают процессор, и это нормально, а вот незнакомая программа с постоянной нагрузкой повод проверить.
Не завершайте системные процессы, не разобравшись, что это: можно потерять несохранённую работу. Если вы нашли подозрительный процесс, завершите его кнопкой остановки в «Мониторинге системы», затем удалите саму программу в папке «Программы» и проверьте объекты входа.
Что делать, если пароль уже введён
Бывает, что пользователь ввёл пароль в подозрительное окно или установил программу, и только потом понял, что это обман. В таком случае:
- Отключите Mac от интернета и не пользуйтесь им для входа в банк и почту.
- С другого, чистого устройства смените пароль от аккаунта Apple, почты и банковских сервисов, а также включите двухфакторную защиту. Как это сделать, описано в статье про защиту аккаунта Apple.
- Если вводили данные банковской карты, обратитесь в банк по номеру с обратной стороны карты, а не с экрана Mac.
- Удалите подозрительную программу и проверьте объекты входа, расширения и профили, как описано выше.
- После этого смените пароль пользователя Mac.
Особенности разных браузеров
Расширения и настройки в разных браузерах находятся в разных местах, но принцип один.
| Браузер | Где проверить расширения | Что проверить ещё |
|---|---|---|
| Safari | «Safari», «Настройки», «Расширения» | Стартовая страница, поиск по умолчанию, уведомления сайтов |
| Chrome | Меню настроек, «Расширения» | Поиск по умолчанию, стартовая страница, разрешения сайтов |
| Firefox | Меню, «Дополнения и темы» | Домашняя страница, поисковая строка |
Уведомления сайтов тоже источник навязчивой рекламы: сайт просит разрешение присылать уведомления, вы нажимаете «Разрешить», и потом реклама приходит отдельными окнами. В Safari разрешения для сайтов находятся в «Настройках», на вкладке «Веб-сайты», раздел «Уведомления». Уберите всё незнакомое.
Если файлы зашифрованы и требуют выкуп
Это самый тяжёлый случай: файлы не открываются, а на экране сообщение с требованием денег. Не платите: после оплаты данные могут так и не вернуться, а деньги получают мошенники. Отключите Mac от сети и не подключайте к нему внешние диски, в том числе с копией Time Machine: шифровальщик может добраться и до них. Копию, сделанную до заражения и хранящуюся отдельно, можно будет использовать после чистой переустановки системы. Без копии вопрос о данных решается отдельно, и здесь нужна диагностика.
Что не поможет
Некоторые действия только отнимают время или делают хуже.
| Действие | Почему не работает |
|---|---|
| Установка нескольких «чистильщиков» подряд | Они мешают друг другу и сами нередко оказываются рекламными |
| Сброс только стартовой страницы | Расширение или профиль вернут всё обратно |
| Переименование программы вместо удаления | Программа остаётся и продолжает работать |
| Отключение защиты системы «для проверки» | Вы сами открываете дорогу вредоносной программе |
| Оплата «лечения» во всплывающем окне | Это мошенничество, вылечить нечего |
| Поиск «кряка» для антивируса | Взломанная программа сама окажется вредоносной |
Старые версии macOS
Если у вас старый Mac и давно не обновлённая система, порядок тот же, но названия пунктов отличаются: вместо «Системных настроек» с боковой панелью открывается окно с иконками, объекты входа находятся в «Пользователях и группах», а настройки безопасности называются «Защита и безопасность». Главное, что на старых версиях защита слабее: обновления безопасности перестали приходить. Поэтому на Mac, который уже не получает обновлений, особенно осторожно относитесь к установке программ, а важную работу, например банковскую, лучше выполнять на устройстве с актуальной системой.
Откуда берётся вредоносное ПО
Понимание причин помогает не повторить ошибку.
| Источник | Как это выглядит | Как избежать |
|---|---|---|
| Поддельное обновление Flash Player или браузера | Окно на сайте требует «срочно обновить» | Обновляйте систему и браузер только через «Системные настройки» и сайт разработчика |
| Взломанные программы и торренты | Установщик просит отключить защиту | Не ставьте такое: защиту отключать не нужно |
| «Ускорители» и «чистильщики» из рекламы | Обещают очистить Mac и ускорить | Не ставьте программу, о которой ничего не знаете |
| Письма со вложениями | «Счёт», «накладная», архив с программой | Не открывайте вложения от незнакомых отправителей |
| Расширения браузера | Добавлены с рекламой | Ставьте расширения только из магазина и смотрите отзывы |
| Рекламные ссылки | Кнопка «Скачать» ведёт на другую страницу | Скачивайте с сайта разработчика |
Flash Player закрыт давно, и любое «обновление Flash» сегодня почти наверняка обман. Правильный ответ один: закрыть вкладку и ничего не устанавливать.
Нужен ли антивирус
Для большинства пользователей, которые ставят программы из App Store и с сайтов разработчиков, обновляют систему и не отключают защиту, встроенных средств достаточно. Сторонний антивирус добавляет проверку, но и нагружает Mac: некоторые программы сильно тормозят систему и разряжают аккумулятор. Об этом подробнее в статье «Что делать, если Mac тормозит».
Если вы всё же решили поставить антивирус, выбирайте его осознанно: скачивайте только с сайта разработчика, читайте, что именно он проверяет, и не ставьте два антивируса сразу. Помните, что «чистильщик», который обещает очистить Mac одним нажатием, сам нередко оказывается рекламной программой.
Как не заразить Mac снова
- Обновляйте систему. Апдейты безопасности приходят через «Системные настройки», «Основные», «Обновление ПО» (на старых версиях «Системные настройки», «Обновление ПО»).
- Ставьте программы из проверенных источников. App Store или сайт разработчика. Подробнее в статье «Как установить программу на Mac».
- Не отключайте защиту. Если установщик просит отключить проверку, откажитесь.
- Не вводите пароль без причины. Запрос пароля должен появляться в ответ на ваше действие.
- Делайте резервные копии. Копия в Time Machine помогает вернуть данные после большинства неприятностей: как настроить Time Machine.
- Осторожно с почтой. Не открывайте вложения и ссылки в письмах от неизвестных отправителей.
- Проверяйте расширения браузера. Раз в несколько месяцев откройте список и удалите ненужное.
Если очистка не помогла
Бывает, что после ручной очистки реклама возвращается, незнакомые программы появляются снова, а Mac продолжает работать странно. В этом случае надёжный вариант это переустановка macOS: система устанавливается заново, а вредоносные хвосты исчезают.
Перед переустановкой сохраните данные. Копия в Time Machine подойдёт, но не восстанавливайте её целиком, если не уверены в чистоте: сначала проверьте, что в ней нет подозрительных программ. Документы, фото и другие личные файлы можно перенести отдельно.
Если вы не хотите делать это самостоятельно или не уверены, что сможете сохранить данные, оставьте заявку: мастер приедет к вам, или курьер заберёт Mac в мастерскую. Цену называем после диагностики, до начала работ. Подробнее читайте на странице «Переустановка macOS».