Как безопасно скопировать файлы с инфицированного компьютера

Малвари (вредоносное ПО) бывает разным — от простых нежелательных программ до сложных троянов и программ-вымогателей. Некоторые образцы убрать проще, другие требуют радикальных мер, вплоть до полного формата и переустановки системы. В таких ситуациях риск потери данных велик: вам нужен чистый компьютер, но важные документы терять не хочется.

Эта статья объясняет безопасный порядок действий по извлечению и копированию файлов с инфицированного компьютера, минимизируя риск повторного заражения.

Краткий обзор методов

Существует две рабочие модели удаления и переноса данных с инфицированного диска:

• Использовать загрузочный антивирусный диск (Live USB/CD) для сканирования и очистки диска до начала копирования.
• Физически извлечь диск и подключить его к проверенной чистой системе для сканирования и переноса.

Обе методики сводятся к одному правилу: сначала очистить диск в среде, где вредоносный код не сможет запуститься в полноценной ОС, затем копировать данные. Прямая копия «как есть» с работающей инфицированной системы повышает риск передачи инфекции на чистую машину.

Использовать загрузочный антивирусный диск

Загрузочный антивирусный диск — это полноценный антивирус в виде Live CD/USB. Вы загружаетесь в среду, не зависящую от установленной на компьютере ОС; антивирус не взаимодействует с Windows или другой системой и не «будит» большинство видов вредоносного ПО.

Подготовка загрузочного диска

1. Скачайте образ ISO на заранее проверенном чистом компьютере. В примере ниже использован Bitdefender Rescue CD.
2. Создайте загрузочную флешку или CD. Для флешки можно применять UNetbootin или аналогичные инструменты.

Пример: создание с помощью UNetbootin

• Запустите UNetbootin и вставьте USB-накопитель. Внимание: процесс сотрёт всё на флешке — сделайте резервные копии.
• Выберите «Diskimage» и укажите скачанный ISO-файл.
• Выберите целевой USB-накопитель и нажмите «OK». Дождитесь завершения.

Сканирование и очистка с Bitdefender Rescue

1. Вставьте флешку в заражённый ПК.
2. При старте компьютера войдите в Boot Menu (обычно F11, F12 или Esc) и загрузитесь с USB.
3. Выберите пункт меню загрузочного диска, например «Start the Bitdefender Rescue CD in English», согласитесь с лицензионным соглашением.
4. Дождитесь автоматического обновления сигнатур, затем запустите полное сканирование всех локальных дисков.
5. После завершения проверьте журналы, выполните повторное сканирование.

Если результаты показывают «чисто», можно приступать к копированию файлов на внешний носитель.

Альтернативы: другие Live Rescue-диски

Linux Live USB/CD также позволяют работать вне основной ОС, сканировать файлы и копировать их. Существует множество таких сборок: специализированные антивирусные Live-системы, универсальные Live-дистрибутивы с установленными инструментами восстановления. Выбирайте проверенные образы и всегда проверяйте контрольные суммы загрузочных ISO.

Извлечь диск и очистить на другой машине

Второй путь — физически вынуть диск и подключить его к «чистой» машине. Это работает, если вы гарантируете, что на второй машине установлены актуальные антивирусы и вы не запускаете файлы с инфицированного диска.

Что потребуется

• Надёжный, обновлённый антивирус/антиспайвар. Для дополнительной защиты рассмотрите Malwarebytes Premium как опцию для глубокого сканирования.
• Инструмент для песочницы (sandbox) на чистой машине — чтобы любые нежелательные активации можно было быстро отменить.
• Физическое подключение диска через SATA-кабель, адаптер USB-to-SATA или док-станцию.
• Перед началом обновите антивирусные базы и отключите сеть при копировании.

Песочница и откат системы

Песочница создаёт временную среду, где можно безопасно работать с подозрительными данными и затем откатить изменения. Пример: Shadow Defender (30-дневный пробный период, далее ≈35 $ за лицензию). Альтернативы:

• macOS: Deep Freeze, Smart Shield
• Linux: OFRIS и другие инструменты снапшотов

Рабочий сценарий: включите песочницу, выполните перенос/сканирование, затем перезагрузите систему для отката всех изменений.

Советы по подключению и сети

• Отключите чистую машину от интернета перед подключением инфицированного диска. Это лишит вредоносный код возможности связаться с управляющими серверами.
• До отключения сети обновите антивирусные базы.
• При монтировании диска по возможности используйте режим только для чтения (read-only). На Linux это: mount -o ro /dev/sdX1 /mnt/inf_drive.

Пошаговый план — стандартная процедура (SOP)

1. Подготовка
   • Подготовьте чистый компьютер с обновлённой антивирусной программой.
   • Подготовьте внешний носитель (флешку или HDD) и, при возможности, Live USB для проверки копий.
2. Очистка источника
   • Либо загрузитесь в Live антивирусной среде и выполните полное сканирование и лечение дисков;
   • Либо физически извлеките диск и подключите к чистой машине, затем просканируйте.
3. Копирование
   • Монтируйте диск в режиме только для чтения;
   • Копируйте только данные пользователя (документы, фото, видео, экспортированные конфигурации), исключая исполняемые файлы и папки, связанные с системой (Windows\System32, Program Files и т. п.);
   • Используйте проверенные утилиты копирования (rsync на Linux, robocopy на Windows) с логированием.
4. Проверка
   • После копирования просканируйте файлы на чистой машине несколькими антивирусными движками;
   • При подозрении — импортируйте файлы в изолированную среду для проверки.
5. Завершение
   • Уничтожайте или форматируйте исходный инфицированный диск, если нет уверенности в полном восстановлении безопасности.

Примеры безопасного копирования данных

Linux (подключённый диск /dev/sdb1):

sudo mount -o ro /dev/sdb1 /mnt/inf_disk
rsync -av --progress --exclude="*.exe" --exclude="Program Files" /mnt/inf_disk/Users/youruser/Documents/ /media/clean_drive/Documents/
sudo umount /mnt/inf_disk

Windows (robocopy) — запускать на чистой машине, при подключенном инфицированном диске как D:\:

robocopy "D:\Users\YourUser\Documents" "E:\Backup\Documents" /MIR /R:1 /W:1 /LOG:copy.log

Важно: исключайте исполняемые файлы (.exe, .dll, .scr, .bat) и системные каталоги при первичном переносе — переносите только документы и медиа, затем сканируйте их отдельно.

Рекомендованные критерии приёмки

Копирование можно считать успешным, если выполнены все пункты:

• Оригинальный диск просканирован и не содержит активных угроз по минимум двум независимым движкам.
• Файлы успешно скопированы и при сканировании на целевой системе не обнаружено угроз.
• Копии проверены на целевой машине в режиме офлайн и/или в песочнице.
• Логи сканирования и копирования сохранены и доступны для аудита.

Матрица рисков и превентивные меры

• Риск: скрытые руткиты или загрузочные инфекции. Мера: использовать загрузочные сканеры и проверять MBR/EFI.
• Риск: запуск заражённого скрипта при просмотре файлов. Мера: отключать автозапуск, не открывать файлы без предварительной проверки.
• Риск: передача вредоносного макроса в документах. Мера: сохранять документы как PDF или в текстовом виде, проверять макросы в отдельной среде.

Когда описанные методы НЕ сработают

• Если система скомпрометирована уязвимостью на уровне прошивки (firmware/UEFI), простая очистка диска может быть недостаточной.
• При ориентированном таргетированном вредоносе с бэкдором (APT) потребуется углублённая проверка организаций по безопасности.
• Если доступ к резервным копиям был также скомпрометирован — сначала восстановите чистую инфраструктуру для бэкапов.

Альтернативные подходы

• Восстановление из офлайн-резервной копии (если она есть) — самый безопасный способ вернуть данные без ручного копирования.
• Использование облачных версий файлов с историей версий — при условии, что облако не было скомпрометировано.

Минимальная методология проверки (Quick-check)

1. Запустить загрузочный антивирус и выполнить сканирование.
2. Смонтировать диск только для чтения.
3. Экспортировать только документы и медиа.
4. Просканировать экспорт на чистой машине и в облачном мультисканере.

Чек-листы по ролям

Для пользователя:

• Сделать снимки экрана важных настроек.
• Скопировать только личные данные (документы, фото, письма).
• Не запускать файлы и не открывать вложения без проверки.

Для IT-администратора:

• Подготовить чистую систему с последними обновлениями и антивирусными базами.
• Проверить целостность загрузочного ISO (контрольные суммы).
• Вести журнал действий и сохранять логи сканирования.

Тесты и критерии приёмки

• Тест 1: Запуск копии на изолированной машине — отсутствие срабатываний.
• Тест 2: Повторное сканирование копий двумя разными антивирусами.
• Тест 3: Открытие документов в песочнице — отсутствие сетевой активности и процессов-редположительно вредоносных.

Краткая справка по терминам

• Live USB: загрузочный носитель, который запускает ОС без использования установленной системы.
• Песочница: изолированная среда, позволяющая запускать файлы без изменения основной системы.
• MBR/EFI: области, отвечающие за загрузку системы; потенциальная цель продвинутых угроз.

Дерево принятия решения

flowchart TD
  A[Есть инфицированный компьютер?] --> B{Можно ли загрузиться с USB?}
  B -- Да --> C[Создать Live антивирусный USB и просканировать]
  B -- Нет --> D[Извлечь диск и подключить к чистому ПК]
  C --> E{Диски чисты после сканирования?}
  D --> E
  E -- Да --> F[Копировать только документы и медиа в режиме read-only]
  E -- Нет --> G[Рассмотреть восстановление из резервной копии или полную переустановку]

Практические советы по сохранности данных

• Храните резервные копии отдельно от основной сети (офлайн/скрытые резервные носители).
• Используйте проверенные облачные сервисы с историей версий.
• Держите ОС и программы в актуальном состоянии, минимизируйте использование прав администратора для повседневных задач.

Часто задаваемые вопросы

Q: Можно ли просто копировать всё на внешний диск, не проверяя?

A: Нельзя. Это рискует переписать вашу чистую машину заражёнными файлами. Всегда сначала проверяйте и по возможности копируйте только данные пользователя.

Q: Сколько антивирусов нужно запустить?

A: Достаточно двух разных проверенных движков, чтобы снизить шанс пропуска. Для критичных случаев используйте мультисервисные инструменты и изолированную проверку.

Q: Что делать, если файлы важные, но заражены?

A: Попробуйте экспортировать данные в безопасный формат (например, сохранить документы как PDF), просканировать экспорт и восстановить из резервной копии. Если нет уверенности — обратитесь к специалистам по инцидентам.

Поддержка приватности и соответствие требованиям

Если вы работаете с персональными данными EU/EEA, соблюдайте требования GDPR: фиксируйте доступы, сообщайте о нарушениях, оцените необходимость копирования и хранения чувствительных данных.

Итог

Перенос файлов с инфицированного компьютера можно выполнить безопасно, если строго следовать принципам: сначала очистка в среде вне основной ОС, монтирование только для чтения, использование песочницы и отключение сети во время копирования. Документируйте процесс и проверяйте копии несколькими инструментами.

Image Credit: dusanpetkovic/ Depositphotos